【网络安全】X-Forwarded-For漏洞成因及防范

获取客户端IP背景

分布式拒绝服务攻击（DDoS）和频繁请求的爬虫行为属于异常请求，通过分析 IP 地址可以检测出这些异常行为。

同时，在 Web 应用开发中，获取客户端 IP 地址也是常见的需求。例如，在投票系统中，为了防止刷票，需要限制每个 IP 地址只能投票一次，这就涉及到获取客户端真实 IP 的问题。

如何获取客户端 IP

在 Java 中，获取客户端 IP 最直接的方式是使用 request.getRemoteAddr()。该方法在没有代理的情况下，可以直接获取连接服务器的客户端 IP。但是如今的 Web 应用通常不会直接将应用服务器对外开放，一般会有 Nginx 作为反向代理和负载均衡，有的甚至有多层代理。在这种情况下，直接使用 request.getRemoteAddr() 获取的 IP 地址会是代理服务器的 IP，而非真实客户端的 IP。

原因是：HTTP 协议基于 TCP 协议，request.getRemoteAddr() 默认获取的是 TCP 层直接连接的 IP，对于应用服务器来说，直接连接的是代理服务器（如 Nginx）。

为了获取真实客户端 IP，很多代理服务器会在 HTTP 头中添加 X-Forwarded-For，用来记录请求的来源路径。其格式如下：

X-Forwarded-For: client1, proxy1, proxy2

X-Forwarded-For</