如何在服务端应用中获取客户端的真实 IP 地址？

在服务端应用（如后端服务）中获取客户端的真实IP地址是网络开发中常见的问题，主要用于访问者身份识别、安全审计等目的。以下是基于HTTP协议的实际方法：

1. 理解不同场景的获取方式：
   • 如果没有反向代理服务器直接处理请求，可以直接使用服务端API提供的原生方法。
     • request.getRemoteAddr() 获取TCP层直连IP，适用于客户端到服务器直连模式，但当有前置代理（如Nginx）时，它仅返回最后代理服务器的IP（192.168.x.x形式），而非真实客户端地址。
   • 若使用了反向代理（如Nginx），则需要通过HTTP请求头处理。
     • 标准方法是检查 X-Forwarded-For 头，它会记录代理链上的原始IP列表，例如格式为 client_ip, proxy1_ip, proxy2_ip，推荐从右侧取第一个非可信节点前的那一个IP作为客户端地址。
     • 其他常用头包括 Proxy-Client-IP、WL-Proxy-Client-IP 和 X-Real-IP，但这些头部可能在不同环境下支持有限。
2. 推荐代码范式（以Java为例）：
   对于服务端框架如Spring Boot或Servlet API：

   public String getClientIP(HttpServletRequest request) {
    String[] headersToCheck = {"X-Forwarded-For", "Proxy-Client-IP", "WL-Proxy-Client-IP"};
    String ip;
    // 顺序验证每个请求头获取真实IP
    for (String header : headersToCheck) {
        ip = request.getHeader(header);
        if (ip != null && ip.length() > 0 && !"unknown".equalsIgnoreCase(ip)) {
            // 解耦出逗号分割列表中的第一个值
            String[] ips = ip.split(",");
            for (String candidateIp : ips) {
                if (!"unknown".equalsIgnoreCase(candidateIp) && !isPrivateIP(candidateIp)) {
                    return candidateIp.trim();
                }
            }
        }
    }
    // 所有头部无效时回退到直连IP
    return request.getRemoteAddr();  
   }
   

   在实际部署中，该流程需信任反向代理有效处理传输（如Nginx设置 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;）；还建议加入IP验证检查以阻止伪造或无效输入攻击。

3. 潜在注意事项：
   由于 X-Forwarded-For 头可被恶意客户篡改（如发起刷票攻击），建议配置唯一代理入口点并使用多层检查规则限制高风险客户端动作；对于Web端获取展示目的可直接基于公共API如ipify.org。优化部署通常结合了可信代理声明机制实现高信安全系统设计。