如何在Nginx中提取XFF头部指定IP并覆盖该头部以规避XFF注入？

核心问题分析 #

你之前的配置错误在于使用了$proxy_add_x_forwarded_for——这个变量会自动把Nginx的上游IP（也就是ALB的IP）追加到ALB传递过来的X-Forwarded-For头部后面，导致你提取到的最后一个IP是ALB的，而非真实客户端IP。

因为你完全信任ALB作为第一跳，我们只需要提取ALB添加到XFF头部的真实客户端IP（也就是ALB传递的$http_x_forwarded_for的最后一个值），然后直接覆盖XFF头部转发给后端服务即可。

方法1：使用Map指令提取最后一个IP #

在Nginx的http块中添加以下配置：

map $http_x_forwarded_for $real_client_ip {
    # 匹配XFF头部最后一个合法IP
    ~*([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)$ $1;
    # 兜底：如果XFF为空（比如绕过ALB直接访问Nginx的情况），取当前连接的IP
    default $remote_addr;
}

然后在转发后端服务的location块中，手动设置XFF头部：

location /your-service-path/ {
    # 覆盖XFF头部为提取到的真实客户端IP
    proxy_set_header X-Forwarded-For $real_client_ip;
    # 其他代理配置
    proxy_pass http://your-microservice-upstream;
    proxy_set_header Host $host;
}

方法2：使用split_on_commas指令（更简洁） #

如果你的Nginx版本≥1.11.0，可以用内置的split_on_commas指令分割XFF头部，直接取最后一个元素：
在http或server块中添加：

split_on_commas $http_x_forwarded_for;
set $real_client_ip $http_x_forwarded_for[-1];
# 兜底处理：如果XFF为空，取remote_addr
if ($real_client_ip = "") {
    set $real_client_ip $remote_addr;
}

然后同样在location块中设置：

proxy_set_header X-Forwarded-For $real_client_ip;

关键注意事项 #

• 禁止使用$proxy_add_x_forwarded_for：这个变量会自动追加Nginx的上游IP（ALB的IP）到XFF头部，破坏我们的IP提取逻辑。
• 确保仅ALB能访问Nginx：通过安全组、防火墙或Nginx的allow/deny规则，限制只有ALB的IP段能直接请求Nginx，避免绕过ALB的恶意请求。
• 后端服务只需信任Nginx传递的XFF：此时后端拿到的XFF是纯净的真实客户端IP，无需再处理多IP的情况，直接用这个IP做白名单验证即可。

内容的提问来源于stack exchange，提问作者Terblanche Daniel