3分钟教会你：浏览器永久固定X-Forwarded-For为本地IP

一、原理篇：X-Forwarded-For的作用与局限

1.核心作用

X-Forwarded-For（XFF）是HTTP请求头中的扩展字段，用于在客户端请求经过代理或负载均衡时，传递原始客户端的真实IP地址。例如，若请求路径为客户端 → 代理1 → 代理2 → 服务器，服务器接收的XFF值会记录为客户端IP, 代理1IP, 代理2IP

2.为什么需要固定为本地IP？

• 开发测试：模拟本地访问绕过IP限制（如仅允许127.0.0.1访问的接口）
• 安全测试：验证服务端对XFF头的处理逻辑是否存在漏洞
• 隐私保护：在特定场景下隐藏真实公网IP

3.局限性

• 服务端校验：部分服务端会结合REMOTE_ADDR（TCP连接IP）验证XFF可信度
• 代理覆盖：反向代理（如Nginx）可能强制覆盖XFF头

二、实战篇

图 1  看到提示，猜测网站可能检测X-Forwarded-For字段 图

图 2 抓包后，添加X-Forwarded-For:127.0.0.1,变成了302跳转 图

插件（推荐）

 X-Forwarded-For Header

 

图 3 搜索相关插件添加到浏览器 图

图 4 输入本地地址后即可访问，还支持其它字段 图

图 5 类似的插件很多，自行搜索 图

风险规避声明：

本文所述技术原理及工具仅用于安全研究与技术交流，旨在提升开发者对网络协议及安全机制的理解。任何技术手段都应在合法授权与道德约束下使用，严禁用于未授权访问、数据窃取、网络攻击等非法用途。使用者需自行承担因技术滥用引发的法律责任与风险，作者不鼓励且不认可任何违反法律法规的行为。网络安全关乎公共利益，请务必遵守《网络安全法》及相关规定，共同维护健康有序的网络环境。