X-Forwarded-For 和 X-Real-IP 的區別？

GoRustNeverStop發表於2017-12-01
Forward

做動靜分離的時候這裡有疑問所以請教度娘

網上摘得，覺得比較有用就記下了

一般來說，X-Forwarded-For是用於記錄代理資訊的，每經過一級代理(匿名代理除外)，代理伺服器都會把這次請求的來源IP追加在X-Forwarded-For中

來自4.4.4.4的一個請求，header包含這樣一行

X-Forwarded-For: 1.1.1.1, 2.2.2.2, 3.3.3.3

代表 請求由1.1.1.1發出，經過三層代理，第一層是2.2.2.2，第二層是3.3.3.3，而本次請求的來源IP4.4.4.4是第三層代理

而X-Real-IP，沒有相關標準，上面的例子，如果配置了X-Read-IP，可能會有兩種情況

// 最後一跳是正向代理，可能會保留真實客戶端IP
X-Real-IP: 1.1.1.1
// 最後一跳是反向代理，比如Nginx，一般會是與之直接連線的客戶端IP
X-Real-IP: 3.3.3.3

所以 ，如果只有一層代理，這兩個頭的值就是一樣的

那一般在後端取值（比如nodejs通過nginx代理）是用哪個值呢？我看sf上看一般推薦是用X-Forwarded-For，直接用 X-Real-IP豈不是更方便點？

X-Forwarded-For確實是一般的做法
1. 他在正向(如squid)反向(如nginx)代理中都是標準用法，而正向代理中是沒有x-real-ip相關的標準的，也就是說，如果使用者訪問你的 nginx反向代理之前，還經過了一層正向代理，你即使在nginx中配置了x-real-ip，取到的也只是正向代理的IP而不是客戶端真實IP
2. 大部分nginx反向代理配置文章中都沒有推薦加上x-real-ip ，而只有x-forwarded-for，因此更通用的做法自然是取x-forwarded-for
3. 多級代理很少見，只有一級代理的情況下二者是等效的
4. 如果有多級代理，x-forwarded-for效果是大於x-real-ip的，可以記錄完整的代理鏈路

按照HTTP 請求頭中的 X-Forwarded-For這篇文章的例子，如果在Nginx的反向代理中新增了配置“proxy_set_header X-Real-IP $remote_addr”，X-Real-IP的值為”3.3.3.3“

相關文章