获取客户端IP,很多代码都会拿 HTTP_CLIENT_IP
的值,其次拿 HTTP_X_FORWARDED_FOR
,最后是 REMOTE_ADDR
。
关于这个的讨论见:http://www.douban.com/group/topic/27482290/
比较的好的获取客户端IP和验证IP代码是怎样的
以下内容是听取答案后的总结
1.HTTP_CLIENT_IP
头是有的,只是未成标准,不一定服务器都实现了。
2.HTTP_X_FORWARDED_FOR
是有标准定义,用来识别经过HTTP代理
后的客户端IP地址,格式:clientip,proxy1,proxy2
。详细解释见 http://zh.wikipedia.org/wiki/X-Forwarded-For
3.REMOTE_ADDR
是可靠的, 它是最后一个跟你的服务器握手的IP
,可能是用户的代理服务器,也可能是自己的反向代理。
关于伪造:HTTP_*
头都很容易伪造。例如使用火狐插件伪造x-forwarded_for
IP为8.8.8.8
,此时清掉cookie再访问http://www.58.com, 它会以为你是8.8.8.8
来的。参考: sf上另一个关于伪造IP的问题
一段不错的获取IP代码:<code>function get_client_ip() { foreach (array( 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR') as $key) { if (array_key_exists($key, $_SERVER)) { foreach (explode(',', $_SERVER[$key]) as $ip) { $ip = trim($ip); //会过滤掉保留地址和私有地址段的IP,例如 127.0.0.1会被过滤 //也可以修改成正则验证IP if ((bool) filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4 | FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) { return $ip; } } } } return null; } </code>登入後複製登入後複製参考 @joyqi 的思路,有些情况可以考虑只获取
REMOTE_ADDR
(PS:一般不会这样做)
获取客户端IP,很多代码都会拿 HTTP_CLIENT_IP
的值,其次拿 HTTP_X_FORWARDED_FOR
,最后是 REMOTE_ADDR
。
关于这个的讨论见:http://www.douban.com/group/topic/27482290/
比较的好的获取客户端IP和验证IP代码是怎样的
以下内容是听取答案后的总结
1.HTTP_CLIENT_IP
头是有的,只是未成标准,不一定服务器都实现了。
2.HTTP_X_FORWARDED_FOR
是有标准定义,用来识别经过HTTP代理
后的客户端IP地址,格式:clientip,proxy1,proxy2
。详细解释见 http://zh.wikipedia.org/wiki/X-Forwarded-For
3.REMOTE_ADDR
是可靠的, 它是最后一个跟你的服务器握手的IP
,可能是用户的代理服务器,也可能是自己的反向代理。
关于伪造:HTTP_*
头都很容易伪造。例如使用火狐插件伪造x-forwarded_for
IP为8.8.8.8
,此时清掉cookie再访问http://www.58.com, 它会以为你是8.8.8.8
来的。参考: sf上另一个关于伪造IP的问题
一段不错的获取IP代码:<code>function get_client_ip() { foreach (array( 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR') as $key) { if (array_key_exists($key, $_SERVER)) { foreach (explode(',', $_SERVER[$key]) as $ip) { $ip = trim($ip); //会过滤掉保留地址和私有地址段的IP,例如 127.0.0.1会被过滤 //也可以修改成正则验证IP if ((bool) filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4 | FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) { return $ip; } } } } return null; } </code>登入後複製登入後複製参考 @joyqi 的思路,有些情况可以考虑只获取
REMOTE_ADDR
(PS:一般不会这样做)
REMOTE_ADDR
不可以显式的伪造,虽然可以通过代理将ip地址隐藏,但是这个地址仍然具有参考价值,因为它就是与你的服务器实际连接的ip地址。
相比之下,前两种ip地址都可以通过http header来伪造,但并不意味着它们一无是处。生产环境中很多服务器隐藏在负载均衡节点后面,你通过REMOTE_ADDR
只能获取到负载均衡节点的ip地址,一般的负载均衡节点会把前端实际的ip地址通过HTTP_CLIENT_IP
或者HTTP_X_FORWARDED_FOR
这两种http头传递过来
后端再去读取这个值就是真实可信的,因为它是负载均衡节点告诉你的而不是客户端。但当你的服务器直接暴露在客户端前面的时候,请不要信任这两种读取方法,只需要读取REMOTE_ADDR
就行了