【Java开发】之获取客户端真实 IP 地址

一、应用场景

---

• 在投票系统开发中，为了防止刷票，我们需要限制每个 IP 地址只能投票一次；
• 当网站受到诸如 DDoS（Distributed Denial of Service，分布式拒绝服务攻击）等攻击时，我们需要快速定位攻击者 IP；
• 在渗透测试过程中，经常会碰到网站有 CDN（Content Distribution Network，内容交付网络），这时我们需要绕过 CDN 查找真实 IP；

二、获取客户端的 IP 地址

---

服务端获取客户端请求IP地址，常见的包括：remote_addr、x-forwarded-for、client-ip 等请求头参数：

• remote_addr：指的是当前直接请求的客户端IP地址，它存在于tcp请求体中，是http协议传输的时候自动添加，不受请求头header的控制。因此，当客户端与服务器之间不存在任何代理的时候，通过remote_addr获取客户端IP地址是最准确，也是最安全。remote_addr无法伪造
• x-forwarded-for，即XFF，是很多代理服务器在请求转发时添加上去的。如果客户端和服务器之间存在代理服务器，那么通过remote_addr获取的IP就是代理服务器的地址，并不是客户端真实的IP地址。因此，需要代理服务器（通常是反向代理服务器）将真实客户端的IP地址转发给服务器，转发时客户端的真实IP地址通常就存在于XFF请求头中。
• client-ip：同XFF，也是代理服务器添加的用于转发客户端请求的真实IP地址，同样保存与请求头中。

在 Java 中，获取客户端 IP 最直接的方式就是使用 request.getRemoteAddr()。这种方式在中间没有代理的情况下，获取连接到服务器的客户端 IP 的最简单有效的方式。

但是目前互联网 Web 应用很少会将应用服务器直接对外提供服务，一般都会有一层 Nginx 做反向代理和负载均衡，有的甚至可能有多层代理。所以，在有反向代理的情况下，直接使用 request.getRemoteAddr() 获取到的IP地址是Nginx所在服务器的IP地址，而不是客户端的 IP。

为了解决上面的问题，很多 HTTP 代理会在 HTTP 协议头中添加 X-Forwarded-For 头，用来追踪请求的来源，X-Forwarded-For 的格式如下：

X-Forwarded-For: client1, proxy1, proxy2

X-Forwarded-For