七层获取真实客户端 IP

七层转发时负载均衡会在请求头中加入 X-Forwarded-For（以及 X-Real-IP 等，视产品），后端应用应读取请求头获取真实客户端地址；直接取 TCP 对端地址只会得到负载均衡自身。

主要请求头	X-Forwarded-For，追加式逗号分隔
补充头	部分产品提供 X-Real-IP、X-Forwarded-Proto
后端动作	应用或接入网关从头部解析客户端 IP 并记录
安全注意	XFF 可被客户端伪造，非信任来源的头部要在入口清洗

在 Nginx 日志中记录客户端 IP 链

log_format lb '$http_x_forwarded_for $remote_addr $request';
# $http_x_forwarded_for 为负载均衡追加的客户端 IP 链

若把 XFF 用作风控或鉴权依据，必须确保入口只接受负载均衡注入的值，并清洗客户端自带的同名头。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌