获取客户端IP ，HTTP_CLIENT_IP 是一个骗局吗？

Question

获取客户端IP，很多代码都会拿 HTTP_CLIENT_IP的值，其次拿 HTTP_X_FORWARDED_FOR，最后是 REMOTE_ADDR。
关于这个的讨论见:http://www.douban.com/group/topic/27482290/
比较的好的获取客户端IP和验证IP代码是怎样的

以下内容是听取答案后的总结
1. HTTP_CLIENT_IP头是有的，只是未成标准，不一定服务器都实现了。
2. HTTP_X_FORWARDED_FOR 是有标准定义，用来识别经过HTTP代理后的客户端IP地址，格式：clientip,proxy1,proxy2。详细解释见 http://zh.wikipedia.org/wiki/X-Forwarded-For
3. REMOTE_ADDR 是可靠的， 它是最后一个跟你的服务器握手的IP，可能是用户的代理服务器，也可能是自己的反向代理。
关于伪造： HTTP_*头都很容易伪造。例如使用火狐插件伪造x-forwarded_forIP为 8.8.8.8，此时清掉cookie再访问http://www.58.com， 它会以为你是 8.8.8.8来的。参考： sf上另一个关于伪造IP的问题
一段不错的获取IP代码:

function get_client_ip()
{
    foreach (array(
                'HTTP_CLIENT_IP',
                'HTTP_X_FORWARDED_FOR',
                'HTTP_X_FORWARDED',
                'HTTP_X_CLUSTER_CLIENT_IP',
                'HTTP_FORWARDED_FOR',
                'HTTP_FORWARDED',
                'REMOTE_ADDR') as $key) {
        if (array_key_exists($key, $_SERVER)) {
            foreach (explode(',', $_SERVER[$key]) as $ip) {
                $ip = trim($ip);
                //会过滤掉保留地址和私有地址段的IP，例如 127.0.0.1会被过滤
                //也可以修改成正则验证IP
                if ((bool) filter_var($ip, FILTER_VALIDATE_IP,
                                FILTER_FLAG_IPV4 |
                                FILTER_FLAG_NO_PRIV_RANGE |
                                FILTER_FLAG_NO_RES_RANGE)) {
                    return $ip;
                }
            }
        }
    }
    return null;
}

参考 @joyqi 的思路，有些情况可以考虑只获取 REMOTE_ADDR（PS:一般不会这样做）

Answer 1

REMOTE_ADDR不可以显式的伪造，虽然可以通过代理将ip地址隐藏，但是这个地址仍然具有参考价值，因为它就是与你的服务器实际连接的ip地址。

相比之下，前两种ip地址都可以通过http header来伪造，但并不意味着它们一无是处。生产环境中很多服务器隐藏在负载均衡节点后面，你通过REMOTE_ADDR只能获取到负载均衡节点的ip地址，一般的负载均衡节点会把前端实际的ip地址通过HTTP_CLIENT_IP或者HTTP_X_FORWARDED_FOR这两种http头传递过来

后端再去读取这个值就是真实可信的，因为它是负载均衡节点告诉你的而不是客户端。但当你的服务器直接暴露在客户端前面的时候，请不要信任这两种读取方法，只需要读取REMOTE_ADDR就行了

Answer 2

这个方法获取的ip，不是真实ip，大家可以通过curl尝试着去伪造ip访问一下

Answer 3

REMOTE_ADDR 是4层IP，也就是TCP连接的IP
HTTP_X_FORWARDED_FOR 是代理穿透IP，也就是由代理服转发请求到服务器时候，带过来的。

而CLIENT_IP我不甚了解，我就不提他了。

代理最多的场景通常是CDN，
然后，业务方有没有用CDN，业务方自己是知道的。如果没有用，那么直接取REMOTE_ADDR即可。
如果用了CDN，可以找CDN厂商要一份CIDR清单，在NGINX上配置只允许这些cidr的IP。
CDN厂商标准的做法，是：
X-FORWARDED-FOR = [请求来的X-FORWARDED-FOR],[本次4层IP]

然后服务器取得的是[CDN传过来的X-FORWARDED-FOR],[CDN的4层IP]
那么业务上，取倒数第二个IP就是用户IP,当然，要倒数第一个IP是CDN的可信CIDR列表中。

当然国内厂商不一定遵照标准，上面文字仅供参考.