擷取用戶端IP ，HTTP_CLIENT_IP 是一個騙局嗎？

擷取用戶端IP，很多代碼都會拿 HTTP_CLIENT_IP的值，其次拿 HTTP_X_FORWARDED_FOR，最後是 REMOTE_ADDR。
關於這個的討論見:http://www.douban.com/group/topic/27482290/
比較的好的擷取用戶端IP和驗證IP代碼是怎樣的

以下內容是聽取答案後的總結
1. HTTP_CLIENT_IP頭是有的，只是未成標準，不一定伺服器都實現了。
2. HTTP_X_FORWARDED_FOR 是有標準定義，用來識別經過HTTP代理後的用戶端IP地址，格式：clientip,proxy1,proxy2。詳細解釋見 http://zh.wikipedia.org/wiki/X-Forwarded-For
3. REMOTE_ADDR 是可靠的， 它是最後一個跟你的伺服器握手的IP，可能是使用者的Proxy 伺服器，也可能是自己的反向 Proxy。
關於偽造： HTTP_*頭都很容易偽造。例如使用Firefox外掛程式偽造x-forwarded_forIP為 8.8.8.8，此時清掉cookie再訪問http://www.58.com， 它會以為你是 8.8.8.8來的。參考： sf上另一個關於偽造IP的問題
一段不錯的擷取IP代碼:

function get_client_ip(){    foreach (array(                'HTTP_CLIENT_IP',                'HTTP_X_FORWARDED_FOR',                'HTTP_X_FORWARDED',                'HTTP_X_CLUSTER_CLIENT_IP',                'HTTP_FORWARDED_FOR',                'HTTP_FORWARDED',                'REMOTE_ADDR') as $key) {        if (array_key_exists($key, $_SERVER)) {            foreach (explode(',', $_SERVER[$key]) as $ip) {                $ip = trim($ip);                //會過濾掉保留地址和私人位址區段的IP，例如 127.0.0.1會被過濾                //也可以修改成正則驗證IP                if ((bool) filter_var($ip, FILTER_VALIDATE_IP,                                FILTER_FLAG_IPV4 |                                FILTER_FLAG_NO_PRIV_RANGE |                                FILTER_FLAG_NO_RES_RANGE)) {                    return $ip;                }            }        }    }    return null;}

參考 @joyqi 的思路，有些情況可以考慮只擷取 REMOTE_ADDR（PS:一般不會這樣做）

回複內容：

擷取用戶端IP，很多代碼都會拿 HTTP_CLIENT_IP的值，其次拿 HTTP_X_FORWARDED_FOR，最後是 REMOTE_ADDR。
關於這個的討論見:http://www.douban.com/group/topic/27482290/
比較的好的擷取用戶端IP和驗證IP代碼是怎樣的

以下內容是聽取答案後的總結
1. HTTP_CLIENT_IP頭是有的，只是未成標準，不一定伺服器都實現了。
2. HTTP_X_FORWARDED_FOR 是有標準定義，用來識別經過HTTP代理後的用戶端IP地址，格式：clientip,proxy1,proxy2。詳細解釋見 http://zh.wikipedia.org/wiki/X-Forwarded-For
3. REMOTE_ADDR 是可靠的， 它是最後一個跟你的伺服器握手的IP，可能是使用者的Proxy 伺服器，也可能是自己的反向 Proxy。
關於偽造： HTTP_*頭都很容易偽造。例如使用Firefox外掛程式偽造x-forwarded_forIP為 8.8.8.8，此時清掉cookie再訪問http://www.58.com， 它會以為你是 8.8.8.8來的。參考： sf上另一個關於偽造IP的問題
一段不錯的擷取IP代碼:

function get_client_ip(){    foreach (array(                'HTTP_CLIENT_IP',                'HTTP_X_FORWARDED_FOR',                'HTTP_X_FORWARDED',                'HTTP_X_CLUSTER_CLIENT_IP',                'HTTP_FORWARDED_FOR',                'HTTP_FORWARDED',                'REMOTE_ADDR') as $key) {        if (array_key_exists($key, $_SERVER)) {            foreach (explode(',', $_SERVER[$key]) as $ip) {                $ip = trim($ip);                //會過濾掉保留地址和私人位址區段的IP，例如 127.0.0.1會被過濾                //也可以修改成正則驗證IP                if ((bool) filter_var($ip, FILTER_VALIDATE_IP,                                FILTER_FLAG_IPV4 |                                FILTER_FLAG_NO_PRIV_RANGE |                                FILTER_FLAG_NO_RES_RANGE)) {                    return $ip;                }            }        }    }    return null;}

參考 @joyqi 的思路，有些情況可以考慮只擷取 REMOTE_ADDR（PS:一般不會這樣做）

REMOTE_ADDR不可以顯式的偽造，雖然可以通過代理將ip地址隱藏，但是這個地址仍然具有參考價值，因為它就是與你的伺服器實際串連的ip地址。

相比之下，前兩種ip地址都可以通過http header來偽造，但並不意味著它們一無是處。生產環境中很多伺服器隱藏在負載平衡節點後面，你通過REMOTE_ADDR只能擷取到負載平衡節點的ip地址，一般的負載平衡節點會把前端實際的ip地址通過HTTP_CLIENT_IP或者HTTP_X_FORWARDED_FOR這兩種http頭傳遞過來

後端再去讀取這個值就是真實可信的，因為它是負載平衡節點告訴你的而不是用戶端。但當你的伺服器直接暴露在用戶端前面的時候，請不要信任這兩種讀取方法，只需要讀取REMOTE_ADDR就行了

