云环境中$_SERVER['REMOTE_ADDR']不可靠，因其返回的是代理内网IP；真实IP需从X-Real-IP或X-Forwarded-For中提取，且必须校验代理IP是否在可信范围内，防止伪造。
云服务器上用 PHP 的 $_SERVER['REMOTE_ADDR'] 拿到的 IP 经常是内网地址（比如 10.0.0.3 或 172.18.0.5），而不是用户真实公网 IP——这不是代码写错了，而是云环境普遍存在的代理链导致的。
为什么 $_SERVER['REMOTE_ADDR'] 在云环境不可靠
云服务（如阿里云 SLB、腾讯云 CLB、Nginx 反向代理、K8s Ingress）默认会把请求转发给后端 PHP 服务，此时 REMOTE_ADDR 只能拿到上一跳（通常是负载均衡器或网关）的内网 IP。真实客户端 IP 被压在 HTTP 头里，比如 X-Forwarded-For 或 X-Real-IP。
常见错误现象：
- 登录日志里全是
10.x.x.x，无法做地域统计或风控 -
ip2long($_SERVER['REMOTE_ADDR'])返回值异常，甚至为 false - 基于 IP 的限流、白名单完全失效
如何安全获取真实客户端 IP（PHP 实操）
不能无条件信任任意 HTTP 头，必须结合代理可信范围判断。以下逻辑适用于 Nginx + PHP-FPM 或云 LB 场景：
立即学习“PHP免费学习笔记（深入）”；
- 确认你的入口代理是否设置了
X-Real-IP（推荐）或X-Forwarded-For - 只从已知可信代理（如你自己的 Nginx 或云厂商 LB 内网段）传来的头中取值
- 避免被客户端伪造头欺骗，例如直接用
$_SERVER['HTTP_X_FORWARDED_FOR']是危险的
示例代码（需根据实际代理配置调整）：
// 假设你的云 LB 内网段是 10.0.0.0/8 和 172.16.0.0/12 $trustedProxies = ['10.0.0.0/8', '172.16.0.0/12']; $clientIp = $_SERVER['REMOTE_ADDR'];if (isset($_SERVER['HTTP_X_REAL_IP']) && ip_in_range($_SERVER['REMOTE_ADDR'], $trustedProxies)) { $clientIp = $_SERVER['HTTP_X_REAL_IP']; } elseif (isset($_SERVER['HTTP_X_FORWARDED_FOR']) && ip_in_range($_SERVER['REMOTE_ADDR'], $trustedProxies)) { // X-Forwarded-For 可能是逗号分隔列表，取第一个非私有地址 $ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])); foreach ($ips as $ip) { if (!is_private_ip($ip)) { $clientIp = $ip; break; } } }
function ip_in_range($ip, $ranges) { foreach ($ranges as $range) { if (strpos($range, '/') !== false) { list($subnet, $bits) = explode('/', $range); if ((ip2long($ip) & bindec(str_repeat('1', $bits) . str_repeat('0', 32 - $bits))) == ip2long($subnet)) { return true; } } else { if ($ip === $range) return true; } } return false; }
function is_private_ip($ip) { $ip = ip2long($ip); $private = [ [ip2long('10.0.0.0'), ip2long('10.255.255.255')], [ip2long('172.16.0.0'), ip2long('172.31.255.255')], [ip2long('192.168.0.0'), ip2long('192.168.255.255')], [ip2long('127.0.0.0'), ip2long('127.255.255.255')], [ip2long('0.0.0.0'), ip2long('0.255.255.255')], [ip2long('100.64.0.0'), ip2long('100.127.255.255')], // CGNAT ]; foreach ($private as $range) { if ($ip >= $range[0] && $ip <= $range[1]) return true; } return false; }
云厂商 LB 特别注意事项
不同平台默认传递的头不一致，且可能开启/关闭“透传客户端 IP”功能：
- 阿里云 SLB：需在监听规则中开启「获取客户端真实 IP」，启用后会自动加
X-Forwarded-For -
腾讯云 CLB：同样要开启「获取真实 IP」，并注意它默认用
X-Real-IP（不是X-Forwarded-For） - Nginx 反向代理：必须手动配置
proxy_set_header X-Real-IP $remote_addr;，否则后端收不到 - K8s Ingress（如 Nginx Ingress Controller）：默认不透传，需设置
use-forwarded-headers: "true"并确保compute-full-forwarded-for: "true"
如果不确定头是否存在，先打印 print_r($_SERVER) 查看有没有 HTTP_X_REAL_IP 或 HTTP_X_FORWARDED_FOR 字段。
调试时最容易忽略的一点
很多开发者改完 PHP 逻辑就以为搞定了，但忘了检查 Nginx 或云控制台的代理配置是否真正生效——curl -I http://your-domain.com 看响应头里有没有 X-Real-IP，或者在 PHP 中临时加一行 error_log(print_r($_SERVER, true), 3, '/tmp/ip-debug.log');，确认原始头数据到底有没有进来。没进来的头，PHP 再怎么解析也没用。
