| 命中线索 | 缓存状态响应头、Age 递增、无回源耗时代价 |
|---|---|
| 真实 IP | 边缘在 X-Forwarded-For 追加客户端 IP，源站按信任网段取 |
| 源站配置 | nginx realip 模块：set_real_ip_from 配合 real_ip_header |
| 注意 | 不能无条件信任 XFF：未校验来源时可被伪造 |
nginx 还原真实客户端 IP（回源网段替换为厂商公布值）
nginx 还原真实客户端 IP（回源网段替换为厂商公布值）
set_real_ip_from 203.0.113.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
# 校验：access_log 中 $remote_addr 应显示为客户端 IP只信任 CDN 回源网段：把 set_real_ip_from 配成任意来源等于允许伪造访问日志与限流绕过。