HTTP 请求头中 X-Forwarded-For 多个 IP 地址

小渣渣

X-Forwarded-For X-Forwarded-For 是一个扩展头。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP 请求端真实 IP，现在已经成为事实上的标准，被各大 HTTP 代理、负载均衡等转发服务广泛使用，并被写入 RFC 7239（Forwarded HTTP Extension）标准之中.

在包含多层代理的网络结构下（例如，除过Web应用防火墙还接入了CDN和DDoS高防IP），所有代理的IP地址都会被添加在x-forwarded-for字段中。这是因为每经过一次转发，代理服务器都会写入代理IP地址。

格式如下：

X-Forwarded-For: client_ip, proxy1_ip, proxy2_ip

伪造 X-Forwarded-For

我们通过 postman 添加 X-Forwarded-For 请求头，伪造如下：

登录可见。

我是使用了阿里云的 SLB 服务，SLB -> IIS，如果我们获取第一个 ip 地址，肯定是不正确的，最后一个 ip 地址才是客户端的真实 ip 地址。

（真实情况下，要根据自己的架构来获取，获取客户端真实ip地址，取决于你经过了几层代理，你相信第几层就取第几层）

对于使用 nginx 做反向代理的，可以设置如下：

登录可见。

最外层代理服务器不信任客户端的 X-Forwarded-For 输入，直接覆盖，而不是追加。

小渣渣

asp.net mvc获取客户端IP地址
https://www.itsvse.com/thread-3312-1-1.html

JPGameA

不行啊。。。必须要学习一下，坚决地址TW垃圾IP注册！！！

小渣渣

X-Forwarded-For

的X-Forwarded-For（XFF）报头是用于通过HTTP代理或负载平衡器识别连接到web服务器的客户端的原始IP地址的事实上的标准报头。当客户端和服务器之间的流量被拦截时，服务器访问日志仅包含代理或负载均衡器的 IP 地址。要查看客户端的原始 IP 地址，X-Forwarded-For 请使用请求标头。

此标头用于调试、统计和生成与位置相关的内容，并在设计上暴露隐私敏感信息，例如客户端的 IP 地址。因此，在部署此标头时必须牢记用户的隐私。

此标头的标准化版本是 HTTPForwarded标头。

X-Forwarded-For 也是一个电子邮件标题，表明电子邮件是从另一个帐户转发的。

如果请求经过多个代理，则列出每个连续代理的 IP 地址。这意味着，最右侧的 IP 地址是最近代理的 IP 地址，最左侧的 IP 地址是始发客户端的 IP 地址。

https://developer.mozilla.org/en ... ers/X-Forwarded-For

小渣渣

nginx 测试获取 ip 地址

登录可见。

小渣渣

ASP.NET Core 通过反向代理获取用户真实 IP 地址

代码如下：

登录可见。

获取 IP 地址：

登录可见。

文档：https://learn.microsoft.com/en-us/aspnet/core/host-and-deploy/proxy-load-balancer
源码参考：https://source.dot.net/#Microsoft.AspNetCore.HttpOverrides/ForwardedHeadersExtensions.cs