网站如果挂到 cdn，不就不能获取到来访用户的真是 ip 了吗

[liangmishi]

网站挂上 cdn ，感觉还挺快的，但是问题来了，服务器上获取到的 ip 都是 cdn 的代理 ip ，那这样的话不就不能准确的判断访问者的 ip 了吗

header 中的 X-forwarded-for 记录的是真是 ip 。

[Havee]

set_real_ip_from cdn_ip;

[ryd994]

会添加 X-forwarded-for 或者 client-IP
注意验证来源 IP ，只有来自 CDN IP 地址段的才信任这些 header

[liangmishi]

@ryd994 嗯嗯，确实如此，在 header 里可以找到 X-forwarded-for ，这就是真实 ip 。 不过为什么还要验证是否来自 CDN 呢。既然是挂了 CDN ，那所有访问都应该是从 CDN 代理服务器那边过来的。除非是知道 ip ，直接通过 ip 访问

[liangmishi]

@Havee 在 nginx 里配置是吗！我去试试

[kn007]

让 CDN 传输过来指定头部，后端只信任指定的头部

[bossfrog]

所以每个请求都回源好了(滑稽脸)

[bossfrog]

小明被恶霸殴打，雇了保镖来招架，爽是爽了，但是不知道有谁想殴打他了，大失所望！

[iyaozhen]

CDN 应该支持向后传客户端 IP 吧

[liangmishi]

@kn007 cnd 有传一个 X-forwarded-for 头

[liangmishi]

@bossfrog 要么被打 要么失望...

[liangmishi]

@iyaozhen 支持的， X-forwarded-for

[lhbc]

注意 X-forwarded-for 可能有多个 IP ，如果浏览器使用了代理

[liangmishi]

@lhbc 取最后一个

[xuhaoyangx]

@liangmishi X-forwarded-for 最后一个不一定对，有些网络会把内网的 ip 带上

[liangmishi]

@xuhaoyangx 这个...那怎么办

[shiji]

具体取决的 CDN 。
我记得 Incapsula 我试过，会直接把 X-forwarded-for 改成发送数据包的客户 IP ，客户端是没法伪造的，伪造的会被直接覆盖掉。所以也不会存在多个 X-forwarded-for 的情况

[qgy18]

HTTP 请求头中的 X-Forwarded-For
https://imququ.com/post/x-forwarded-for-header-in-http.html

[liangmishi]

@shiji 我试了下 伪造了个 X-forwarded-for 然后在服务器端 获取 X-forwarded-for 里面有真实的 ip 也有伪造的

[liangmishi]

@qgy18 受益匪浅

[pine]

统计代码不走 cdn 不就行了，多简单的事。