X-Forwarded-For 與 X-Real-IP：區別與應用

雲端運算與程式碼 2024年10月29日 09:52 353 品悟

本

文

摘

要

文章闡述`X-Forwarded-For`和`X-Real-IP`在網絡請求處理中的作用、區別、使用方法和註意事項。介紹二者概念，從信息內容、來源、使用場景對比區別，說明了在PHP、Python、Java中的獲取方法和在訪問控制、行為分析、日誌記錄中的應用，強調安全與兼容問題。

在網絡請求處理的復雜環境中，`X-Forwarded-For`和` X-Real-IP`這兩個請求頭信息對於確定客戶端的真實 IP 地址起著關鍵作用。然而，它們在功能、來源和使用方式上存在著一些重要的區別。

一、概念與含義

X-Forwarded-For 與 X-Real-IP：區別與應用第1张

（一）X-Forwarded-For

`X-Forwarded-For`是一個 HTTP 請求頭字段，用於記錄請求經過的代理服務器（或其他中間設備）的鏈路上的所有 IP 地址信息。它的格式是一個以逗號分隔的 IP 地址列表，通常最左邊（第一個）的 IP 地址被認為是客戶端的真實 IP 地址，後續的 IP 地址依次是請求經過的各個代理服務器的 IP。這個請求頭是在請求經過代理服務器轉發過程中，由代理服務器添加或修改的。

（二） X-Real-IP

` X-Real-IP`也是一個 HTTP 請求頭，它主要用於直接表示客戶端的真實 IP 地址。與`X-Forwarded-For`不同，它通常只包含一個 IP 地址，而且這個 IP 就是客戶端的原始 IP，而不是像`X-Forwarded-For`那樣包含一長串經過的代理服務器的 IP 信息。

二、區別

（一）信息內容

1. X-Forwarded-For

提供了請求經過的完整鏈路信息，包括所有代理服務器的 IP 地址。這使得服務器可以了解請求的傳播路徑，但同時也需要額外的處理來提取客戶端的真實 IP，尤其是在多層代理的情況下。例如，一個請求經過了三個代理服務器，`X-Forwarded-For`可能是`192.168.1.10, 10.0.0.1, 172.16.0.1, 203.0.113.5`，其中`192.168.1.10`可能是客戶端的真實 IP，後面的是代理服務器 IP。

2. X-Real-IP

內容簡潔明了，直接給出客戶端的真實 IP。例如，` X-Real-IP`的值可能是`192.168.1.10`。

（二）來源與添加方式

1. X-Forwarded-For

由代理服務器在轉發請求的過程中添加和更新。每個代理服務器會將自己的 IP 地址添加到這個請求頭中（如果遵循標準的處理方式）。如果存在多層代理，這個請求頭會不斷被修改和擴充。例如，第一層代理服務器接收到客戶端請求後，添加客戶端 IP，後續的代理服務器再依次添加自己的 IP。

2. X-Real-IP

通常是由最外層的代理服務器或者負載均衡器添加的，用於明確告知後端服務器客戶端的真實 IP。它的添加方式相對簡單直接，不需要像`X-Forwarded-For`那樣層層累積。

（三）使用場景和目的

1. X-Forwarded-For

更適用於需要詳細了解請求路徑的場景，比如網絡診斷、審計和一些需要對請求鏈路進行分析的安全應用。它可以幫助追蹤請求經過了哪些服務器，以及是否存在異常的代理服務器介入。在多層代理環境下，通過解析`X-Forwarded-For`可以獲取完整的請求傳播軌跡。

2. X-Real-IP

主要用於後端服務器快速獲取客戶端的真實 IP 地址，以便進行基於 IP 的訪問控制、用戶統計、個性化服務等功能。在只關心客戶端真實身份而不需要了解請求經過的代理服務器細節的情況下，` X-Real-IP`更具優勢。

三、使用方法

（一）獲取請求頭信息

1. 在 PHP 中

- 對於`X-Forwarded-For`，可以使用`$_SERVER['HTTP_X_FORWARDED_FOR']`來獲取其值。然後通過字符串處理函數（如`explode`函數以逗號分隔）來解析其中的 IP 地址。

- 對於` X-Real-IP`，可以使用`$_SERVER['HTTP_X_REAL_IP']`來獲取。

2. 在 Python（以 Flask 框架為例）中

- 通過`request.headers.get('X-Forwarded-For')`獲取`X-Forwarded-For`的值，再進行處理。

- 使用`request.headers.get(' X-Real-IP')`獲取` X-Real-IP`的值。

3. 在 Java（以 Servlet 為例）中

- 通過`HttpServletRequest.getHeader("X-Forwarded-For")`獲取`X-Forwarded-For`請求頭的值，後續進行解析。

- 利用`HttpServletRequest.getHeader(" X-Real-IP")`獲取` X-Real-IP`的值。

（二）應用場景中的使用

1. 基於 IP 的訪問控制

- 在安全防護場景中，無論是使用`X-Forwarded-For`還是` X-Real-IP`獲取的客戶端 IP，都可以用於實現訪問控制列表（ACL）。例如，可以設置只允許特定 IP 範圍的客戶端訪問某些敏感資源。對於`X-Forwarded-For`，需要註意從其中正確提取客戶端真實 IP，而` X-Real-IP`則可以直接使用。

2. 用戶行為分析與統計

- 在分析用戶行為時，可以根據客戶端的真實 IP 來統計不同地區、不同網絡環境下的用戶訪問情況。如果使用`X-Forwarded-For`，需要確保準確獲取客戶端 IP，因為錯誤的 IP 信息可能導致統計結果偏差。` X-Real-IP`在這種情況下可以更方便地提供準確的 IP 數據用於分析。

3. 日誌記錄

- 在服務器日誌中記錄客戶端的真實 IP 對於故障排查和安全審計非常重要。可以選擇將`X-Forwarded-For`或` X-Real-IP`中的 IP 信息記錄下來。如果記錄`X-Forwarded-For`，可以同時記錄請求經過的代理服務器信息，這對於分析請求流程很有幫助；如果只需要記錄客戶端本身的信息，` X-Real-IP`就足夠了。

四、註意事項

（一）安全問題

1. X-Forwarded-For

由於其包含了多個代理服務器的 IP 信息，存在被惡意篡改的風險。攻擊者可能在代理服務器被攻破或者通過其他手段偽造`X-Forwarded-For`請求頭，插入虛假的 IP 地址或者修改順序。因此，在使用`X-Forwarded-For`獲取客戶端真實 IP 時，需要結合其他安全機制，如驗證代理服務器的合法性、檢查請求來源的可信度等。

2. X-Real-IP

雖然它直接表示客戶端真實 IP，但同樣可能被惡意設置。如果代理服務器或負載均衡器的安全機制被突破，攻擊者可以修改` X-Real-IP`的值。因此，也要對其來源進行驗證，確保其可靠性。

（二）兼容性問題

1. 不同代理服務器和服務器軟件的支持

- 不是所有的代理服務器都會正確設置`X-Forwarded-For`和` X-Real-IP`請求頭。在一些老舊或不標準的代理服務器中，可能無法正確添加或傳遞這些信息。同樣，不同的服務器軟件在處理這些請求頭時可能存在兼容性問題，例如某些服務器軟件可能對`X-Forwarded-For`的解析方式與預期不同。

2. 跨平臺和跨語言問題

- 在跨平臺和跨語言的應用環境中，獲取和處理這兩個請求頭可能會遇到一些問題。不同的操作系統和編程語言對請求頭的處理方式可能存在差異，需要進行充分的測試和適配，以確保在各種環境下都能正確獲取和使用`X-Forwarded-For`和` X-Real-IP`的值。

總之，`X-Forwarded-For`和` X-Real-IP`在網絡請求處理中都有著重要的地位，但它們的區別決定了在不同的場景下有著不同的使用方式和註意事項。正確理解和使用這兩個請求頭，可以更好地實現服務器對客戶端信息的處理，保障網絡應用的安全和穩定運行。