[collect]HTTP头中x-Forwarded-For、x-Real-IP、remote_addr这几者之间的区别

=Start=

缘由：

之前有过简单了解HTTP头中这几个字段的作用，平时也能说个一二，但是细节可能就没那么清楚了，这次在代码中遇到了，趁着这个机会总结整理一下，方便以后参考。

正文：

参考解答：

X-Forwarded-For, X-Real-IP, remote_addr是HTTP协议中用来表示客户端地址的请求头。

X-Forwarded-For和X-Real-IP只有请求存在代理时才有值，而remote_addr一直存在。

X-Forwarded-For：记录代理服务器的地址，每经过一个代理，该字段会追加上一个记录。格式形如：1.1.1.1, 2.2.2.2。
X-Real-IP：也是用来记录服务器的地址，但是和上面的不同，它不把记录添加到结尾，而是直接替换。
remote_addr：上一个客户端连接的地址，不存在代理就表示客户端的地址，存在代理就表示最后一个代理服务器的地址。

如果一个 HTTP 请求到达服务器之前，经过了三个代理 Proxy1、Proxy2、Proxy3，IP 分别为 IP1、IP2、IP3，用户真实 IP 为 IP0，那么按照 XFF 标准，服务端最终会收到以下信息：

X-Forwarded-For: IP0, IP1, IP2

Proxy3 直连服务器，它会给 XFF 追加 IP2，表示它是在帮 Proxy2 转发请求。列表中并没有 IP3，IP3 可以在服务端通过 Remote Address 字段获得。我们知道 HTTP 连接基于 TCP 连接，HTTP 协议中没有 IP 的概念，Remote Address 来自 TCP 连接，表示与服务端建立 TCP 连接的设备 IP，在这个例子里就是 IP3。

Remote Address 无法伪造，因为建立 TCP 连接需要三次握手，如果伪造了源 IP，无法建立 TCP 连接，更不会有后面的 HTTP 请求。不同语言获取 Remote Address 的方式不一样，例如 php 是 $_SERVER[“REMOTE_ADDR”]，Node.js 是 req.connection.remoteAddress，但原理都一样。

X-Real-IP 通常被 HTTP 代理用来表示与它产生 TCP 连接的设备 IP，这个设备可能是其他代理，也可能是真正的请求端。需要注意的是，X-Real-IP 目前并不属于任何标准，代理和 Web 应用之间可以约定用任何自定义头来传递这个信息。

proxy_set_header X-Real-IP $remote_addr; # 无法为真正使用代理的用户提供更好的服务（覆盖，请求到达 Nginx 之前的所有代理信息都被最后一个覆盖掉）

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 更常用（叠加）

结论：

1、直接对外提供服务的 Web 应用，在进行与安全有关的操作时，只能通过 Remote Address 获取 IP，不能相信任何请求头；
2、使用 Nginx 等 Web Server 进行反向代理的 Web 应用，在配置正确的前提下，要用 X-Forwarded-For 最后一节或 X-Real-IP 来获取 IP（因为 Remote Address 得到的是 Nginx 所在服务器的内网 IP）；同时还应该禁止 Web 应用直接对外提供服务；
3、在与安全无关的场景，例如通过 IP 显示所在地天气，可以从 X-Forwarded-For 靠前的位置获取 IP，但是需要校验 IP 格式合法性；

一般来说，X-Forwarded-For是用于记录代理信息的，每经过一级代理(匿名代理除外)，代理服务器都会把这次请求的来源IP「追加」在X-Forwarded-For中。

假设来自4.4.4.4的一个请求，header包含这样一行：
X-Forwarded-For: 1.1.1.1, 2.2.2.2, 3.3.3.3

说明请求由 1.1.1.1 发出，经过三层代理，第一层是 2.2.2.2 ，第二层是 3.3.3.3 ，而本次请求的来源IP 4.4.4.4 是第三层代理。

对于X-Real-IP，没有相关标准，上面的例子，如果配置了X-Read-IP，可能会有两种情况

// 最后一跳是正向代理，可能会保留真实客户端IP
X-Real-IP: 1.1.1.1
// 最后一跳是反向代理，比如Nginx，一般会是与之直接连接的客户端IP
X-Real-IP: 3.3.3.3

所以，如果只有一层代理，这两个头的值就是一样的。

参考链接：

=END=

17 9 月, 2018

Docker

KnowledgeBase, Programing, Tools

REMOTE_ADDR, X-FORWARDED-FOR, x-real-ip