如何获取HTTP_X_FORWARDED_FOR信息_PHP获取代理转发IP方法【教程】

不能直接信任 http_x_forwarded_for，因其可被客户端伪造；必须结合 remote_addr 与可信代理白名单校验，优先使用 cloudflare 的 http_cf_connecting_ip 等专用头，并确保 nginx 正确传递且禁用客户端伪造。

php 里不能直接信任 HTTP_X_FORWARDED_FOR，它可被客户端随意伪造；必须结合 REMOTE_ADDR 和可信代理白名单做校验。

为什么不能直接用 $_SERVER[‘HTTP_X_FORWARDED_FOR’]

这个值由最前端的代理（如 Nginx、CDN）添加，但若请求没经过代理、或中间有不可信设备，攻击者可在请求头里手动设置 X-Forwarded-For: 1.2.3.4，导致你拿到假 IP。常见错误现象包括：用户注册显示“IP 来自巴西”，实际是本地开发环境直连造成的。

• 本地测试时 HTTP_X_FORWARDED_FOR 可能为空，也可能被 curl 手动注入
• 多层代理下该字段可能是逗号分隔的字符串，如 "203.0.113.1, 198.51.100.2"，最右是上一跳，最左是原始客户端
• 部分 CDN（如 Cloudflare）用 HTTP_CF_CONNECTING_IP 替代，不走标准字段

如何安全提取真实客户端 IP

核心逻辑是：只从 HTTP_X_FORWARDED_FOR 中取「离当前服务器最近的、且来源 IP 在可信代理列表中」的那一段。假设你用 Nginx 做反向代理，部署在 10.0.0.10，那只有来自这个地址的请求，才允许信任它传来的 X-Forwarded-For。

• 先确认你的 PHP 运行在可信代理之后（比如 Nginx → PHP-FPM），并记录所有代理的内网 IP（如 10.0.0.10、172.16.0.5）
• 用 $_SERVER['REMOTE_ADDR'] 判断当前连接来源是否在可信代理列表中
• 如果来源可信，再解析 $_SERVER['HTTP_X_FORWARDED_FOR']，取最左边非私有/非保留地址的 IP（跳过 127.0.0.1、10.0.0.0/8 等）
• 否则，直接 fallback 到 $_SERVER['REMOTE_ADDR']

简短示例：

立即学习“PHP免费学习笔记（深入）”；

$trustedProxies = ['10.0.0.10', '172.16.0.5']; $remoteAddr = $_SERVER['REMOTE_ADDR'] ?? ''; $clientIp = $remoteAddr;  if (in_array($remoteAddr, $trustedProxies) && !empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {     $ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));     foreach ($ips as $ip) {         if (!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {             continue;         }         $clientIp = $ip;         break;     } }

Cloudflare 或其他 CDN 的特殊处理

Cloudflare 不转发原始 X-Forwarded-For，而是设自己的头 HTTP_CF_CONNECTING_IP，且只对已验证的域名生效。如果你接入了 Cloudflare，并在后台开启「IP Geolocation」或「True Client IP」，这个字段才是可靠来源。

• 优先检查 $_SERVER['HTTP_CF_CONNECTING_IP']（Cloudflare）
• 阿里云 CDN 用 HTTP_X_REAL_IP，腾讯云部分场景用 HTTP_X_SRC_IP
• 永远不要同时信任多个头字段拼接，比如既读 HTTP_X_FORWARDED_FOR 又读 HTTP_X_REAL_IP，容易被绕过

PHP 配置与 Nginx 配合要点

光靠 PHP 代码不够，Nginx 必须正确传递头信息，且禁止客户端伪造关键字段。否则 PHP 拿到的就是污染数据。

• Nginx 配置里要显式设置：proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;，而不是简单写死 $remote_addr
• 加一行 proxy_set_header X-Real-IP $remote_addr;，方便 PHP 快速判断来源是否可信
• 禁用客户端自定义该头：underscores_in_headers off;，并确保 underscores_in_headers 不开启，防止用 x_forwarded_for 绕过
• PHP 的 variables_order 配置不能包含 G（GET），避免 URL 参数里传入 ?HTTP_X_FORWARDED_FOR=... 覆盖服务器变量

真正难的不是写几行代码取 IP，而是理清整个请求链路上每个环节谁在写、谁在读、谁可信——少一个环节校验，就可能把伪造 IP 当成真实用户来源。