Spring Boot如何识别客户端网络类型并限制热点设备访问

核心问题 #

当System C通过System B的热点访问System A时，System A调用httpServletRequest.getRemoteAddr()只能获取到System B的IP，无法拿到System C的真实IP；同时需要实现仅允许有线LAN设备访问/loginurl，热点设备禁止访问的权限控制，且不能依赖前端JS实现（存在篡改风险）。

为什么X-Forwarded-For等Header为空？ #

这类Header通常由反向代理（如Nginx）主动添加，但当前场景中System B仅做网络NAT转发（热点共享），不会自动向HTTP请求注入这类Header，因此服务器端无法通过这些Header获取真实IP。

可行解决方案 #

1. 将System B配置为反向代理，主动注入真实IP Header #

如果能控制System B的配置，可以在System B上部署反向代理服务，转发请求到System A时携带System C的真实IP：

• 以Nginx为例，配置示例：

server {
    listen 8080;
    location / {
        proxy_pass http://[SystemA的IP]:8080;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

配置完成后，System A即可通过request.getHeader("X-Forwarded-For")获取到System C的真实IP。

2. 基于固定IP段区分设备类型（无需修改System B） #

如果无法修改System B的配置，可以通过预定义IP段来区分有线LAN和热点设备：

• 先确认有线LAN的IP段（比如192.168.1.0/24）和System B热点分配的IP段（比如192.168.43.0/24）
• 在Spring Boot中通过拦截器实现权限控制：
  编写拦截器类：

@Component
public class LanAccessInterceptor implements HandlerInterceptor {
    // 有线LAN的IP前缀，根据实际网络配置修改
    private static final String LAN_IP_PREFIX = "192.168.1.";
    // 热点设备的IP前缀，根据实际网络配置修改
    private static final String HOTSPOT_IP_PREFIX = "192.168.43.";

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String requestUrl = request.getRequestURI();
        if ("/loginurl".equals(requestUrl)) {
            String clientIp = request.getRemoteAddr();
            // 验证是否为有线LAN设备
            if (clientIp.startsWith(LAN_IP_PREFIX)) {
                return true;
            } else if (clientIp.startsWith(HOTSPOT_IP_PREFIX)) {
                // 热点设备拒绝访问
                response.sendError(HttpServletResponse.SC_FORBIDDEN, "热点设备禁止访问该接口");
                return false;
            }
            // 未知IP段，默认拒绝
            response.sendError(HttpServletResponse.SC_FORBIDDEN, "设备类型无法识别，禁止访问");
            return false;
        }
        return true;
    }
}

注册拦截器：

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Autowired
    private LanAccessInterceptor lanAccessInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(lanAccessInterceptor)
                .addPathPatterns("/loginurl");
    }
}

• 该方案的前提是有线LAN和热点的IP段固定且可提前确认。

3. 特殊场景说明（Windows/macOS原生热点） #

Windows或macOS的原生热点本质是系统级NAT转发，不会添加任何HTTP Header，无法直接获取System C的真实IP，只能通过IP段区分设备类型。若必须获取真实IP，只能在System B上部署代理服务来转发请求并注入Header。

关键注意事项 #

• 绝对不能依赖前端JS获取的IP信息，前端数据可被篡改，服务器端验证才是安全可靠的。
• 若使用反向代理方案，需限制System A仅接受来自System B的代理请求，避免攻击者伪造X-Forwarded-For等Header进行恶意访问。

内容的提问来源于stack exchange，提问作者Kasarla Anvesh