Next.js服务端网络请求中如何传递用户Cookie与真实IP？

一、传递客户端Cookie #

在SSR场景下，Next.js服务端可直接从请求对象中获取客户端Cookie，随后在向后端API发起请求时，通过请求头将Cookie传递过去：

Pages Router（getServerSideProps）示例 #

export async function getServerSideProps(context) {
  const { req } = context;
  // 读取客户端Cookie，为空时设空字符串避免报错
  const clientCookie = req.headers.cookie || '';

  // 向后端API请求时携带Cookie
  const apiRes = await fetch('https://your-backend-api.com/your-endpoint', {
    method: 'POST', // 根据实际请求方法调整
    headers: {
      'Content-Type': 'application/json',
      Cookie: clientCookie,
    },
    body: JSON.stringify({ /* 请求体数据 */ })
  });

  const data = await apiRes.json();
  return { props: { data } };
}

App Router（Server Component/Server Action）示例 #

import { headers } from 'next/headers';

export default async function ProductPage() {
  const headerList = headers();
  const clientCookie = headerList.get('cookie') || '';

  const apiRes = await fetch('https://your-backend-api.com/your-endpoint', {
    headers: {
      Cookie: clientCookie,
    },
  });

  const data = await apiRes.json();
  return <div>{/* 页面渲染内容 */}</div>;
}

二、获取并传递客户端真实IP #

SSR时Next.js服务端发起请求，后端默认拿到的是Next.js服务器IP，需从请求头提取客户端真实IP后传递给后端API：

1. 提取真实IP #

客户端真实IP通常存在以下请求头字段（优先级从高到低）：

• x-real-ip：部分反向代理（如Nginx）会设置
• x-forwarded-for：多层代理时包含所有经过的IP，取第一个即为客户端IP
• remoteAddress：本地开发或无代理时可用

2. 传递IP到后端 #

发起API请求时，将提取到的IP通过自定义请求头（如X-Client-IP）传递：

Pages Router 扩展示例

export async function getServerSideProps(context) {
  const { req } = context;
  const clientCookie = req.headers.cookie || '';

  // 提取并清理真实IP
  let clientIp = req.headers['x-real-ip'] || req.headers['x-forwarded-for'] || req.connection.remoteAddress;
  if (typeof clientIp === 'string') {
    clientIp = clientIp.split(',')[0].trim();
  }

  const apiRes = await fetch('https://your-backend-api.com/your-endpoint', {
    headers: {
      Cookie: clientCookie,
      'X-Client-IP': clientIp,
    },
  });

  const data = await apiRes.json();
  return { props: { data } };
}

App Router 扩展示例

import { headers } from 'next/headers';

export default async function ProductPage() {
  const headerList = headers();
  const clientCookie = headerList.get('cookie') || '';
  
  let clientIp = headerList.get('x-real-ip') || headerList.get('x-forwarded-for') || '';
  if (clientIp) {
    clientIp = clientIp.split(',')[0].trim();
  }

  const apiRes = await fetch('https://your-backend-api.com/your-endpoint', {
    headers: {
      Cookie: clientCookie,
      'X-Client-IP': clientIp,
    },
  });

  const data = await apiRes.json();
  return <div>{/* 页面渲染内容 */}</div>;
}

3. 部署环境配置（重要） #

若Next.js部署在第三方平台或自定义代理后，需确保代理正确转发IP头：

• Vercel：自动设置x-vercel-ip头，可直接使用该字段
• Nginx：在配置中添加以下指令：

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

三、防刷产品评分的补充建议 #

仅靠IP和Cookie不够彻底，建议结合以下方式强化防刷：

• 对未登录用户，生成唯一UUID存储在Cookie中，结合IP+标识限制提交频率
• 后端添加请求频率限制（如每分钟最多提交1次评分）
• 敏感操作（如评分）添加验证码或人机验证
• 记录评分行为日志，异常情况自动拦截

内容的提问来源于stack exchange，提问作者cheerful_weasel