Docker Compose+Nginx反向代理下Blazor无法获取真实客户端IP

问题概述 #

在Docker Compose环境中，以Nginx为反向代理部署Blazor Server应用时，应用始终接收Docker内部Nginx容器的私有IP（如127.28.1.1），而非外部客户端真实IP（本地测试应为127.0.0.1）。已尝试多种配置但未解决。

已尝试的方案：

• 在Blazor的Program.cs中配置ForwardedHeaders并启用UseForwardedHeaders()
• 将IPAM网段添加到Blazor的KnownProxies和KnownNetworks
• 在Nginx配置中设置real_ip_header和set_real_ip_from
• 在Nginx配置中添加proxy_set_header X-Real-IP $remote_addr;等转发头

正确配置步骤 #

1. Nginx反向代理配置修正 #

确保Nginx的location块中正确转发客户端IP相关头，同时信任Docker内部网段的代理：

server {
    listen 80;
    server_name localhost;

    location / {
        proxy_pass http://blazor-app:5077;
        # 转发客户端真实IP核心头
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        
        # 适配Blazor Server的SignalR WebSocket连接（必需）
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }

    # 信任Docker内部网段的代理来源
    set_real_ip_from 127.28.0.0/16;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;
}

2. Blazor Server Program.cs配置调整 #

确保ForwardedHeadersOptions正确配置，且信任Nginx所在的Docker网段：

var builder = WebApplication.CreateBuilder(args);

// 配置转发头选项
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 添加Docker内部网段到信任列表
    options.KnownNetworks.Add(new IPNetwork(IPAddress.Parse("127.28.0.0"), 16));
    // 若Nginx有固定IP，可直接添加到KnownProxies
    // options.KnownProxies.Add(IPAddress.Parse("127.28.1.1"));
});

// 注册Blazor服务
builder.Services.AddRazorComponents()
    .AddInteractiveServerComponents();

var app = builder.Build();

// 必须在其他中间件之前启用转发头处理
app.UseForwardedHeaders();

// 其他中间件配置
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseAntiforgery();

app.MapRazorComponents<App>()
    .AddInteractiveServerRenderMode();

app.Run();

3. Docker Compose网络配置检查 #

确保Nginx与Blazor应用在同一自定义网络中，IPAM配置正确：

version: '3.8'

services:
  nginx:
    image: nginx:alpine
    ports:
      - "80:80"
    volumes:
      - ./nginx.conf:/etc/nginx/conf.d/default.conf
    networks:
      blazor-network:
        ipv4_address: 127.28.1.1 # 可选：给Nginx分配固定IP，方便配置KnownProxies

  blazor-app:
    build: .
    networks:
      blazor-network:
        ipv4_address: 127.28.1.2

networks:
  blazor-network:
    ipam:
      config:
        - subnet: 127.28.0.0/16

验证方法 #

在Blazor页面中添加代码，直接获取并展示客户端真实IP：

@page "/"
@inject IHttpContextAccessor HttpContextAccessor

<h3>客户端真实IP: @ClientIp</h3>

@code {
    private string ClientIp { get; set; } = "";

    protected override void OnInitialized()
    {
        // 优先从X-Forwarded-For头获取（支持多层代理场景）
        var forwardedFor = HttpContextAccessor.HttpContext?.Request.Headers["X-Forwarded-For"].FirstOrDefault();
        ClientIp = !string.IsNullOrEmpty(forwardedFor) ? forwardedFor.Split(',')[0].Trim() 
                                                      : HttpContextAccessor.HttpContext?.Connection.RemoteIpAddress?.ToString();
    }
}

关键注意事项 #

• app.UseForwardedHeaders()必须放在所有其他中间件（如UseHttpsRedirection、UseStaticFiles）之前，否则转发头无法被正确处理
• Blazor Server依赖SignalR实现实时通信，Nginx必须配置WebSocket相关转发头，否则不仅IP获取异常，实时功能也会失效
• 必须将Nginx所在的Docker网段/IP添加到KnownNetworks或KnownProxies，否则ASP.NET Core会忽略代理转发的头信息

内容的提问来源于stack exchange，提问作者Fernando