获取客户端真实 IP 与多级代理问题分析

最近在项目中遇到一个问题，在获取用户IP地址时，发现有两个IP地址，研究了一下发现可能是因为多级代理的问题导致的

先来看看获取用户IP地址的代码，以 Node.js 项目为例：

const reg = /::ffff:/;
let ip =
  req.headers["x-forwarded-for"] ||
  req.connection.remoteAddress ||
  req.socket.remoteAddress ||
  req.connection.socket.remoteAddress;
if (reg.test(ip)) {
  ip = ip.replace(reg, "");
}

多级代理的工作机制

多级代理意味着请求会经过多个代理服务器，每个代理都会在 X-Forwarded-For 中追加自己的 IP 地址。最终的 X-Forwarded-For 头可能看起来像这样：

X-Forwarded-For: 客户端IP, 代理1IP, 代理2IP

• 第一个 IP：通常是客户端的真实 IP
• 后续 IP：表示经过的每一级代理的 IP

那为什么会有多级代理呢？

在一些大型复杂的架构中，一些服务可能会使用 CDN（如 Cloudflare）作为第一级代理，Nginx 作为第二级代理。每个代理服务器在转发请求时，会将自己的 IP 附加到 X-Forwarded-For 的末尾。

如何解决多级代理带来的问题？

获取第一个 IP：按照多级代理的规则，X-Forwarded-For 中的第一个 IP 通常是客户端的真实 IP。我们可以改造一下代码：

const reg = /::ffff:/;
let ip =
  req.headers["x-forwarded-for"]?.split(",")[0].trim() || // 获取第一个 IP
  req.connection.remoteAddress ||
  req.socket.remoteAddress ||
  req.connection.socket.remoteAddress;
if (reg.test(ip)) {
  ip = ip.replace(reg, "");
}

在多级代理中也可能存在不可信的代理，例如有些代理会 伪造请求头、隐藏真实来源、从而隐藏真实的IP地址，这样的话常规的方法就会失效，可以在nginx中配置可信代理解决。