Nginx反向代理下X-Real-IP能否伪造？Express API遇异常注册

1. X-Real-IP能不能被伪造？ #

• 如果用户直接访问你的Express服务：完全可以伪造，客户端可以随意发送自定义的X-Real-IP请求头，填任意假IP。
• 但你当前用了Nginx反向代理，且配置了proxy_set_header X-Real-Ip $remote_addr;——这种情况下，Nginx会强制覆盖客户端发来的X-Real-IP头，将其替换为Nginx实际获取到的客户端真实IP（也就是$remote_addr的值）。此时客户端根本没法伪造这个头的内容，因为Nginx会直接替换掉。

需要注意：如果你的Nginx前端还有其他代理（比如CDN、负载均衡器），那$remote_addr拿到的会是上层代理的IP，而非用户真实IP。这时候要改用X-Forwarded-For，同时给Nginx配置可信的代理IP段，防止攻击者伪造请求头。

2. 为什么会出现大量不同IP的批量注册？ #

你遇到的3秒一个新用户、IP各不相同的情况，不一定是用了10000个独立代理，大概率是这些原因：

• 动态IP代理池：现在很多代理服务商提供动态切换IP的套餐，成本极低，几分钟就能刷出几百个不同IP。
• IPv6地址滥用：IPv6地址资源极其丰富，攻击者可以轻松生成大量不同的IPv6地址绕过IP限制。
• 自动化脚本+廉价代理：网上有很多低成本代理服务，按小时或流量收费，攻击者用简单的脚本配合这些代理就能快速批量注册，IP切换效率很高。

3. 可行的优化方案 #

• 加固Nginx配置：如果只有Nginx一层代理，当前配置没问题；如果有上层代理，可修改配置如下：

  # 替换为你的上层代理/CDN的IP段
  set_real_ip_from 192.168.0.0/16;
  # 从可信代理的X-Forwarded-For头中提取真实IP
  real_ip_header X-Forwarded-For;
  

  这样Nginx只会信任指定IP段发来的请求头，避免被伪造。
• 提升注册门槛：添加邮箱/短信验证码、滑动验证或人机验证，增加机器批量注册的难度。
• 设置访问频率限制：在Nginx或Express中配置限频规则，比如同一IP每分钟最多注册1次，哪怕攻击者频繁换IP，也会大幅增加攻击成本。
• 新用户行为校验：要求新注册用户必须完成邮箱/手机号验证才能登录，或限制新用户的初始操作权限，降低恶意注册的影响。

内容的提问来源于stack exchange，提问作者Hahan't