| 名称 | X-Forwarded-For（XFF） |
|---|---|
| 作用 | 传递真实客户端 IP |
| 规范 | 无 RFC（de facto；同类标准为 RFC 7239 Forwarded） |
| 风险 | 客户端可伪造最左段，必须结合可信代理裁剪 |
Nginx 计算真实客户端 IP
Nginx 计算真实客户端 IP
location / {
set_real_ip_from 10.0.0.0/8; # 只信任内部代理
real_ip_header X-Forwarded-For;
real_ip_recursive on;
proxy_set_header X-Real-IP $remote_addr;
}直接取 XFF 第一个 IP 做限流/封禁≈对攻击者开放：先把请求路径固定为可信代理并配置递归剥离，再取客户端地址。