Symfony不信任CloudFront/ALB代理，获取客户端IP异常排查

核心问题：trusted_proxies配置错误 #

你设置的'127.0.0.1,REMOTE_ADDR'是错误的——REMOTE_ADDR是当前请求的直接来源IP（也就是ALB的IP），但Symfony的trusted_proxies需要指定你信任的代理服务器的IP/IP段，而非这个变量。把REMOTE_ADDR加入信任列表，既不安全，也无法让Symfony正确解析真实客户端IP。

正确配置步骤 #

1. 指定信任的代理IP范围

   • 由于你的Fargate和ALB处于VPC内网，可先将VPC内网IP段加入信任列表：'10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16'。如果需要更精准，可以补充ALB所在区域的AWS公网IP段、CloudFront的IP段。
   • 示例配置：

     framework:
         trusted_proxies: ['10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16']
     

2. 配置可信请求头
   CloudFront和ALB会通过X-Forwarded-For传递真实客户端IP，还会携带X-Forwarded-Proto等头信息，需要让Symfony信任这些头：

   framework:
       trusted_proxies: ['10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16']
       trusted_headers: !php/const Symfony\Component\HttpFoundation\Request::HEADER_X_FORWARDED_ALL
   

   也可以手动指定需要信任的头：['x-forwarded-for', 'x-forwarded-host', 'x-forwarded-proto', 'x-forwarded-port']

3. 确认代理的头传递设置

   • 确保CloudFront已配置转发X-Forwarded-For、X-Forwarded-Proto头到ALB；
   • ALB默认会将客户端IP写入X-Forwarded-For，可在ALB的监听器配置里确认该功能未被禁用。

额外注意事项 #

• 绝对不要用REMOTE_ADDR作为trusted_proxies的取值，这会让Symfony信任所有直接发起请求的IP，存在安全风险；
• 如果应用部署在多环境，建议通过环境变量动态注入trusted_proxies的IP段，避免硬编码。

内容的提问来源于stack exchange，提问作者greg