真实客户端 IP 获取

经过 CDN、负载均衡、代理多层后，WAF 与后端要通过 X-Forwarded-For 或代理协议获取真实源地址。

HTTP 场景	读取 X-Forwarded-For / X-Real-IP（可信层校验）
四层场景	使用 PROXY protocol 传递源地址
安全	只信任已知代理层追加的地址

nginx 传递示例

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
# 后端按可信代理层数取正确位置的地址

XFF 可伪造，风控与封禁不要直接信任客户端提交的头。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌