Node.js后端如何通过WebSocket获取防伪造的真实客户端IP

不存在绝对能绕过所有伪造手段获取真实IP的方法，但针对不同伪造场景，有对应的应对思路：

1. 客户端伪造HTTP请求头（如X-Forwarded-For） #

WebSocket基于HTTP握手建立连接，客户端可轻易篡改握手阶段的HTTP请求头（比如伪造X-Forwarded-For）。这种情况下，不要依赖任何客户端发送的HTTP头信息，直接读取TCP连接层面的IP才是可靠的：

在Node.js的ws库中，可通过握手请求对象获取真实IP：

const WebSocket = require('ws');
const wss = new WebSocket.Server({ port: 8080 });

wss.on('connection', (ws, req) => {
  // 从TCP连接获取真实IP，不受HTTP头伪造影响
  const realIP = req.connection.remoteAddress || req.socket.remoteAddress;
  console.log('客户端真实IP:', realIP);
});

这个IP是TCP连接建立时的源IP，普通客户端无法直接伪造（除非具备网络层权限，比如同一局域网内ARP欺骗等极端操作，这类场景属于网络攻击，不在常规开发防御范围内）。

2. 客户端通过代理/VPN隐藏真实IP #

如果客户端使用匿名代理、TOR或VPN，你通过TCP连接拿到的只会是代理服务器的IP，无法直接获取客户端真实IP。

若使用自己可控的反向代理（如Nginx、Cloudflare），可配置代理主动转发客户端真实IP，同时服务器仅信任来自这些可信代理的请求：

• Nginx配置示例（转发真实IP）：

  location /ws {
    proxy_pass http://localhost:8080;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
  }
  

• Node.js服务器端验证代理来源并读取真实IP：

  wss.on('connection', (ws, req) => {
    // 仅信任指定的代理IP列表
    const trustedProxyIPs = ['192.168.1.100', '你的Cloudflare节点IP'];
    const connectionIP = req.connection.remoteAddress;
  
    let realIP = connectionIP;
    if (trustedProxyIPs.includes(connectionIP)) {
      // 从可信代理转发的头中提取真实IP
      realIP = req.headers['x-forwarded-for']?.split(',')[0].trim() || realIP;
    }
  
    console.log('客户端真实IP:', realIP);
  });
  

注意：如果代理是不可信的（如第三方免费代理），它可能伪造X-Forwarded-For头，这种情况依然无法获取真实IP。

3. 极端场景：网络层IP伪造 #

若客户端通过专业工具修改网络数据包的源IP（如IP欺骗），这种情况仅能在特定网络环境实现（比如客户端与服务器同属一个局域网，或控制了中间路由），常规开发中几乎遇不到，且无法通过应用层手段防御，只能依赖防火墙等网络设备拦截。

内容的提问来源于stack exchange，提问作者hmmmm