request.getHeader(“X-Forwarded-For“)& request.getRemoteAddr()

在Web开发中，request.getHeader("X-Forwarded-For") 和 request.getRemoteAddr() 是用于获取客户端IP地址的两种不同方法，但它们有不同的应用场景和限制。

1. request.getHeader("X-Forwarded-For"):
   • 作用：获取HTTP请求头中的X-Forwarded-For字段的值。
   • 适用场景：当请求经过一个或多个代理服务器（如负载均衡器、反向代理服务器等）转发到最终的目标服务器时，目标服务器无法直接获取到客户端的真实IP地址。此时，如果代理服务器支持并正确配置了X-Forwarded-For头，那么该头将包含客户端的原始IP地址（可能是第一个IP地址，如果存在多个代理的话）。
   • 限制：X-Forwarded-For头是一个非标准的HTTP头，不是所有的代理服务器都会添加这个头。此外，由于这个头可以被客户端或代理服务器伪造，因此它提供的IP地址信息不一定总是真实的。
2. request.getRemoteAddr():
   • 作用：获取直接与目标服务器建立连接的客户端的IP地址。
   • 适用场景：当请求没有经过代理服务器转发，或者即使经过了代理，但目标服务器无法或不需要依赖X-Forwarded-For头来获取客户端的真实IP地址时，可以使用这个方法。
   • 限制：如果请求经过了代理服务器转发，那么request.getRemoteAddr()返回的是代理服务器的IP地址，而不是客户端的真实IP地址。

在实际应用中，开发者需要根据具体的应用场景和代理服务器的配置来选择合适的方法来获取客户端的IP地址。如果应用部署在代理服务器之后，并且需要获取客户端的真实IP地址，那么通常需要配置代理服务器以正确添加X-Forwarded-For头，并在应用中解析这个头来获取客户端的真实IP地址。同时，也需要注意这个头可能被伪造的风险，并结合其他安全措施来判断请求的真实来源。

另外，一些Web服务器和框架（如Tomcat、Spring等）提供了配置选项来自动解析X-Forwarded-For头，并将客户端的真实IP地址设置为请求对象的某个属性（如request.getRemoteAddr()返回的值），从而简化了开发者的工作。但是，这仍然依赖于代理服务器的正确配置和X-Forwarded-For头的真实性。

import javax.servlet.http.HttpServletRequest;
import java.util.Arrays;
import java.util.Optional;

public class IpUtils {

    public static String getClientIp(HttpServletRequest request) {
        // 1. 尝试从 X-Forwarded-For 获取，并处理多个 IP 的情况
        String ip = parseXForwardedFor(request.getHeader("X-Forwarded-For"));
        if (isValidIp(ip)) {
            return ip;
        }

        // 2. 检查其他代理服务器可能设置的头部
        ip = checkCommonHeaders(request);
        if (isValidIp(ip)) {
            return ip;
        }

        // 3. 回退到默认方法
        ip = request.getRemoteAddr();
        return ip;
    }

    private static String parseXForwardedFor(String header) {
        if (header == null || header.isEmpty()) {
            return null;
        }
        // 按逗号分割，取第一个有效公网 IP
        return Arrays.stream(header.split(","))
                .map(String::trim)
                .filter(IpUtils::isValidPublicIp)
                .findFirst()
                .orElse(null);
    }

    private static String checkCommonHeaders(HttpServletRequest request) {
        // 检查常见代理头部
        String[] headersToCheck = {
            "Proxy-Client-IP",
            "WL-Proxy-Client-IP",
            "HTTP_CLIENT_IP",
            "HTTP_X_FORWARDED_FOR"
        };
        return Arrays.stream(headersToCheck)
                .map(request::getHeader)
                .filter(ip -> ip != null && !ip.isEmpty())
                .map(String::trim)
                .filter(IpUtils::isValidPublicIp)
                .findFirst()
                .orElse(null);
    }

    private static boolean isValidIp(String ip) {
        return ip != null && !ip.isEmpty() && !"unknown".equalsIgnoreCase(ip);
    }

    private static boolean isValidPublicIp(String ip) {
        if (!isValidIp(ip)) return false;
        // 过滤 IPv4 私有地址和本地地址
        return !ip.startsWith("10.") &&
               !ip.startsWith("192.168.") &&
               !ip.startsWith("172.16.") &&
               !ip.startsWith("169.254.") &&
               !ip.equals("127.0.0.1") &&
               !ip.equals("0:0:0:0:0:0:0:1");
    }
}