ASP.NET Core中自动获取客户端真实IP（移除前端传参）

一、修改BaseRequest类 #

直接移除ClientIP字段，保留AppId即可：

namespace Api.Models.Controllers
{
    public class BaseRequest
    {
        public string AppId { get; set; }
    }
}

二、修复GetClientIp方法，正确获取真实IP #

原来的方法通过DNS解析服务器主机名，拿到的是服务器IP，要改成从请求上下文获取调用者IP。还要考虑反向代理/负载均衡场景（比如Nginx、F5），这种情况下直接拿RemoteIpAddress会得到代理服务器的IP，需要读取请求头里的X-Forwarded-For或X-Real-IP来获取真实客户端IP。

针对ASP.NET（Framework）的写法：

using System.Web;
using System.Linq;

public static string GetClientIp()
{
    try
    {
        // 先检查反向代理传递的真实IP头
        var ipAddress = HttpContext.Current.Request.ServerVariables["HTTP_X_FORWARDED_FOR"];
        if (!string.IsNullOrEmpty(ipAddress))
        {
            // X-Forwarded-For可能有多个IP（逗号分隔），取第一个非未知的IP
            ipAddress = ipAddress.Split(',')
                                 .Select(s => s.Trim())
                                 .FirstOrDefault(s => !s.Equals("unknown", StringComparison.OrdinalIgnoreCase));
            if (!string.IsNullOrEmpty(ipAddress))
                return ipAddress;
        }

        // 如果没有代理，直接拿远程连接IP
        ipAddress = HttpContext.Current.Request.ServerVariables["REMOTE_ADDR"];
        return string.IsNullOrEmpty(ipAddress) ? "10.0.0.0" : ipAddress;
    }
    catch (Exception ex)
    {
        return "10.0.0.0";
    }
}

针对ASP.NET Core的写法：

需要注入IHttpContextAccessor，避免静态类硬依赖上下文：

using Microsoft.AspNetCore.Http;
using System.Linq;

public class IpHelper
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public IpHelper(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public string GetClientIp()
    {
        try
        {
            var context = _httpContextAccessor.HttpContext;
            if (context == null)
                return "10.0.0.0";

            // 读取反向代理头
            var ipHeader = context.Request.Headers["X-Forwarded-For"].FirstOrDefault();
            if (!string.IsNullOrEmpty(ipHeader))
            {
                var ip = ipHeader.Split(',')
                                 .Select(s => s.Trim())
                                 .FirstOrDefault(s => !s.Equals("unknown", StringComparison.OrdinalIgnoreCase));
                if (!string.IsNullOrEmpty(ip))
                    return ip;
            }

            // 没有代理则直接拿远程IP
            return context.Connection.RemoteIpAddress?.ToString() ?? "10.0.0.0";
        }
        catch (Exception ex)
        {
            return "10.0.0.0";
        }
    }
}

注意：如果使用反向代理，要确保代理服务器正确设置X-Forwarded-For头，ASP.NET Core项目还需配置转发信任（比如app.UseForwardedHeaders()），防止恶意客户端伪造头信息。

三、在服务调用时获取IP并存库 #

在控制器的Action中，获取IP后和BaseRequest的AppId一起写入数据库：

ASP.NET（Framework）示例：

public class SomeController : Controller
{
    public ActionResult SomeAction(BaseRequest request)
    {
        string clientIp = Utility.GetClientIp();
        // 调用数据库逻辑，存储request.AppId和clientIp
        // ...
        return Json(new { success = true });
    }
}

ASP.NET Core示例：

先在Program.cs注册依赖：

// Program.cs
builder.Services.AddHttpContextAccessor();
builder.Services.AddScoped<IpHelper>();

再在控制器注入使用：

[ApiController]
[Route("[controller]")]
public class SomeController : ControllerBase
{
    private readonly IpHelper _ipHelper;

    public SomeController(IpHelper ipHelper)
    {
        _ipHelper = ipHelper;
    }

    [HttpPost]
    public IActionResult SomeAction(BaseRequest request)
    {
        string clientIp = _ipHelper.GetClientIp();
        // 存储request.AppId和clientIp到数据库
        // ...
        return Ok(new { success = true });
    }
}

关键说明 #

• 移除前端可控的ClientIP字段后，完全由服务端获取IP，从根源避免前端传空、伪造IP的问题。
• 生产环境几乎都会用到反向代理，必须处理这类场景才能拿到真实客户端IP。
• ASP.NET Core项目一定要配置转发信任，防止恶意伪造头信息。

内容的提问来源于stack exchange，提问作者Mohamad Hasan Salmaaniyaan