Java防伪造ip，Nginx方法

Java获取真实IP地址与防止伪造

最新推荐文章于 2025-02-28 11:20:15 发布

原创最新推荐文章于 2025-02-28 11:20:15 发布 · 3.2k 阅读

6 ·

CC 4.0 BY-SA版权

web 同时被 2 个专栏收录

3 篇文章

订阅专栏

Linux

1 篇文章

订阅专栏

该博客讨论了如何在Java中正确获取HTTP请求的真实IP地址，包括当请求经过代理如nginx时的处理方法。文章指出，通过`request.getHeader(x-forwarded-for)`可能获取到伪造的IP，并提供了配置nginx和修改代码以确保获取到真实的IP。解决方案包括使用`request.getRemoteAddr()`及检查多个HTTP头字段来确定真实IP，从而实现准确的IP限流。

问题：

正常获取IP方法，此方式通过获取请求头的方式拿到IP

ip = request.getHeader("x-forwarded-for");

于是可以模拟在请求头添加x-forwarded-for，伪造ip发送请求，

结果Java获取到的ip为仿造后的：111.111.111.111

解决：配置nginx即可。

若项目没有使用nginx或其他代理，则只需修改代码。

String ip = request.getRemoteAddr();

public static String getIP(HttpServletRequest request) {
		// 获取真实Ip。未使用代理的情况下，若使用nginx，则获取到的是nginx的ip
		String ip = request.getRemoteAddr();

		// 若使用了nginx，则需要配置
//		proxy_set_header X-Real-IP $remote_addr;
//		proxy_set_header Host $host;
//		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

		// 获取nginx代理前的用户Ip
//		String ip = request.getHeader("X-Real-IP");
		if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
			ip = request.getHeader("Proxy-Client-IP");
		}
		if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
			ip = request.getHeader("WL-Proxy-Client-IP");
		}
		if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
			ip = request.getHeader("HTTP_CLIENT_IP");
		}
		if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
			ip = request.getHeader("HTTP_X_FORWARDED_FOR");
		}
		if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
			ip = request.getHeader("x-forwarded-for");
		}
		//对于通过多个代理的情况，第一个IP为客户端真实IP,多个IP按照','分割
		//"***.***.***.***".length() = 15
		if (ip != null && ip.length() > 15) {
			if (ip.indexOf(",") > 0) {
				ip = ip.substring(0, ip.indexOf(","));
			}
		}
		return ip;
	}

效果：经处理，获取的ip为真实的，公司的外网IP：182.***.***.***