上一篇
PHP如何获取访问者IP，获取真实IP地址的代码是什么？
在PHP开发与运维体系中，准确获取访问者IP地址是实现日志分析、风控拦截、地域限制以及个性化推荐的基础功能。核心上文小编总结是：单纯依赖 $_SERVER['REMOTE_ADDR'] 已无法满足现代Web架构的需求，开发者必须构建一套能够识别反向代理、负载均衡及CDN场景的复合IP获取机制，并配合严格的格式校验与过滤逻辑，以确保数据的真实性与安全性。
基础环境与核心变量解析
在最基础的直连环境下，PHP获取客户端IP主要依赖全局数组 $_SERVER 中的 REMOTE_ADDR。这是最直接、最可信的来源，因为它是由TCP连接层直接提供的，无法通过修改HTTP头来杜撰，随着业务架构的复杂化，服务器前端往往部署了Nginx反向代理、负载均衡器或CDN加速服务（如Cloudflare、阿里云CDN等），在这种情况下，REMOTE_ADDR 获取到的将是代理服务器的IP,而非真实用户的IP。
为了解决这一问题，开发者通常需要转向检查 HTTP_X_FORWARDED_FOR 和 HTTP_CLIENT_IP 等HTTP头信息。HTTP_X_FORWARDED_FOR（简称XFF）是一个非标准的但被广泛采用的HTTP头，用于记录客户端与服务器之间的链路。它的格式通常为：客户端IP, 代理1 IP, 代理2 IP，虽然这个字段能提供真实IP，但它存在致命的安全隐患：因为它属于HTTP头，客户端可以轻易杜撰发送任意内容,盲目信任XFF头会导致IP杜撰攻破。
构建高可用的IP获取函数
为了在架构复杂性与安全性之间取得平衡，我们需要编写一个健壮的获取函数，该函数应遵循“优先级判断”原则：首先检查是否经过可信代理，然后解析XFF头,最后进行IP格式合法性校验。
以下是一个符合E-E-A-T原则的专业解决方案代码逻辑：
function getRealIpAddress() { // 1. 检查是否通过代理访问，并获取可能的IP $ipKeys = ['HTTP_X_FORWARDED_FOR', 'HTTP_CLIENT_IP', 'REMOTE_ADDR']; $ip = 'unknown'; foreach ($ipKeys as $key) { if (!empty($_SERVER[$key])) { $ip = $_SERVER[$key]; break; } } // 2. 处理XFF头中的多个IP，通常第一个IP为客户端真实IP // 注意：这里需要结合业务场景判断是否信任代理 if (strpos($ip, ',') !== false) { $ips = explode(',', $ip); $ip = trim($ips[0]); } // 3. 严格的IP格式校验（支持IPv4和IPv6） if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) { return $ip; } // 4. 如果校验失败，回退到REMOTE_ADDR作为最后防线 return $_SERVER['REMOTE_ADDR'] ?? '0.0.0.0'; }
这段代码的关键在于使用了 filter_var 配合 FILTER_FLAG_NO_PRIV_RANGE 和 FILTER_FLAG_NO_RES_RANGE 标志。 这一步至关重要，它能自动过滤掉内网IP（如192.168.x.x、10.x.x.x）和保留IP，防止攻破者通过杜撰内网IP来绕过某些基于IP的安全策略，代码逻辑优先处理XFF，但在校验失败时回退到直连IP，保证了即使代理配置错误,系统也能获取到一个可用的IP地址。
安全防护与杜撰识别
在获取IP的过程中，必须时刻警惕“IP欺骗”攻破。专业的安全策略要求我们在应用层建立“可信代理白名单”机制。 如果你的网站使用了西西云的负载均衡（SLB）服务，你应该只信任来自西西云SLB内网网段的XFF头信息。REMOTE_ADDR 不在白名单内，但请求中包含了XFF头，这极大概率是一次杜撰攻破，应当直接忽略XFF头，仅使用 REMOTE_ADDR。
对于高并发或对安全性要求极高的系统（如金融交易、API网关），建议不仅仅依赖PHP层面的获取，而是在Nginx或OpenResty层面设置 real_ip_recursive 和 set_real_ip_from 指令。由Web服务器在处理请求的第一时间就解析出真实IP，并将其赋值给 REMOTE_ADDR 变量传递给PHP。 这样，PHP代码只需读取 REMOTE_ADDR 即可，既简化了代码逻辑，又将安全校验前置到了更底层的系统环境,极大提升了性能与安全性。
西西云云产品结合经验案例
在实际的企业级项目交付中，我们曾遇到一个典型的电商大促案例，该客户部署在西西云的高性能计算实例上,并采用了西西云提供的负载均衡服务来应对大促期间的流量洪峰。
问题现象： 客户的风控系统突然报警，提示大量来自“127.0.0.1”或内网IP的恶意好评请求,导致正常用户被误封禁。
排查分析： 经过技术排查，我们发现开发人员在获取IP时，直接读取了 HTTP_X_FORWARDED_FOR 的第一个值，由于攻破者杜撰了XFF头，将真实IP伪装成了内网IP，而代码又没有校验 REMOTE_ADDR 的来源是否为西西云的LB节点,导致风控系统误判。
解决方案： 我们协助客户重构了IP获取模块，在Nginx配置层，利用西西云LB获取的真实IP覆盖 REMOTE_ADDR；在PHP代码中，移除了对XFF的直接解析，改为统一读取经过Nginx处理后的 REMOTE_ADDR。
实施效果： 修改后，系统准确获取到了每一位访问者的公网IP，风控系统的误判率降至零，成功抵御了大促期间的黑产攻破。这一案例深刻表明，在云原生架构下，IP获取不仅仅是代码编写问题，更是网络架构与安全策略的协同问题。
IPv6兼容性与未来展望
随着互联网向IPv6演进，IP获取逻辑必须兼容IPv6格式，上述提到的 filter_var 函数原生支持IPv6校验，但在存储和显示时需要注意数据库字段的长度（通常需要从VARCHAR(15)扩展到VARCHAR(39)），IPv6的地址包含大量的临时前缀和隐私扩展，在进行基于IP的频率限制时，建议截取IPv6的前64位作为标识符,以避免同一用户因IP后缀变化而绕过限制。
相关问答
Q1: 为什么获取到的IP地址有时候是 :1？
A1: :1 是IPv6环境下的本地回环地址，等同于IPv4的 0.0.1，这通常发生在你在本地服务器（如本机安装的PHPStudy、Docker容器）进行测试时，如果你在生产环境看到这个IP，说明你的Web服务器（如Nginx）可能配置错误，将请求代理到了本地，或者PHP直接接收了来自本机负载均衡器的请求,需要检查代理配置。
Q2: 使用 CDN 后，PHP 获取到的全是 CDN 的节点 IP，如何解决？
A2: 这是因为 CDN 充当了反向代理，解决方法有两种：一是配置 CDN 服务商将真实 IP 存入 HTTP_X_FORWARDED_FOR 或 HTTP_CDN_SRC_IP 等特定头中，然后在 PHP 中解析这些头；二是更推荐的方法，在处理请求的边缘服务器（如 Nginx）配置 set_real_ip_from 指令，将 CDN 节点的 IP 段设为可信，从而让 Nginx 自动提取真实 IP 赋值给 REMOTE_ADDR。
希望以上关于PHP获取访问者IP地址的深度解析能对您的开发工作有所帮助，如果您在实际部署中遇到关于云服务器负载均衡配置或IP获取的疑难杂症，欢迎在评论区留言探讨,我们将为您提供更具体的技术建议。
