Laravel部署AWS ALB后获取用户真实IP而非负载均衡IP问题

问题分析 #

你的Laravel应用部署在AWS ALB后，request()->ip()返回负载均衡器IP而非用户真实IP，尽管已配置TrustProxies中间件，问题大概率出在中间件生效逻辑、ALB头传递或配置细节上。

具体解决步骤 #

1. 确认TrustProxies中间件全局注册 #

打开app/Http/Kernel.php，确保\App\Http\Middleware\TrustProxies::class被加入$middleware数组（全局中间件），而非仅在路由组或路由中间件中：

protected $middleware = [
    // ...其他中间件
    \App\Http\Middleware\TrustProxies::class,
];

只有全局注册，才能保证所有请求都经过代理IP解析处理。

2. 优化TrustProxies配置 #

你的当前配置已包含AWS ELB所需的头常量，可补充验证配置正确性：

// app/Http/Middleware/TrustProxies.php
use Illuminate\Http\Request;

class TrustProxies extends \Illuminate\Http\Middleware\TrustProxies
{
    // 生产环境建议替换为ALB具体IP段，而非通配符*
    protected $proxies = '*';

    protected $headers = Request::HEADER_X_FORWARDED_FOR |
                        Request::HEADER_X_FORWARDED_HOST |
                        Request::HEADER_X_FORWARDED_PORT |
                        Request::HEADER_X_FORWARDED_PROTO |
                        Request::HEADER_X_FORWARDED_AWS_ELB;
}

HEADER_X_FORWARDED_AWS_ELB是Laravel专为AWS ELB/ALB适配的头解析规则，确保能正确识别ALB传递的用户IP。

3. 验证请求头传递状态 #

添加调试路由，确认ALB是否正确传递X-Forwarded-For头：

Route::get('/debug-headers', function() {
    return response()->json(request()->headers->all());
});

访问该路由后，检查返回结果中的x-forwarded-for字段，其值的第一个IP即为用户真实IP。若该字段不存在，需检查ALB监听配置：确保HTTP/HTTPS监听未修改默认头转发行为，ALB默认会自动添加X-Forwarded-For、X-Forwarded-Proto等头。

4. 备选方案：直接解析请求头 #

若上述配置仍未生效，可直接从X-Forwarded-For头提取真实IP（适合临时调试或特殊场景）：

Route::get('/what-is-my-ip', function(){ 
    $forwardedFor = request()->header('X-Forwarded-For');
    // 处理多层代理场景，取第一个IP
    if ($forwardedFor) {
        $clientIp = trim(explode(',', $forwardedFor)[0]);
        return $clientIp;
    }
    //  fallback到默认IP获取逻辑
    return request()->ip();
});

安全提示 #

生产环境不要长期使用$proxies = '*'，这会信任所有代理来源，存在安全风险。建议指定AWS ALB的IP段，可通过AWS官方文档获取当前区域ALB IP范围，或通过AWS SDK动态获取当前账户下ALB的IP地址。

内容的提问来源于stack exchange，提问作者Ayman Alshiekh