如何在React或Node.js中获取客户端私有IP地址？

核心结论 #

• 纯浏览器环境（即React前端代码运行的用户侧浏览器环境）无法通过任何合规方式获取用户本地私有IP，这是现代浏览器强制执行的隐私安全限制，所有公开的第三方IP查询接口（包括你当前使用的geolocation-db）都只能拿到用户网络的公网出口IP，不可能返回内网私有地址。
• Node.js环境能否拿到私有IP，完全取决于Node进程的运行位置：本地运行的Node进程可以拿到，部署在远程服务器上的Node进程拿不到访问用户的私有IP。

原因说明 #

早年有利用WebRTC接口泄露本地私有IP的漏洞，但目前所有主流浏览器（Chrome、Firefox、Safari、Edge的近3年正式版本）都已经修复了该问题，默认禁止网页直接获取本地网络接口的IP信息，防止恶意网站进行内网探测、发起定向内网攻击。
而公网传输场景下，用户的私有IP属于NAT内网地址，在公网路由转发过程中不会被携带到服务端，因此部署在公网服务器上的Node.js后端，从TCP请求层面就不可能拿到访问者的私有IP，这是TCP/IP协议族和NAT机制的基础特性，没有绕过空间。

可落地的实现方案 #

场景1：Node.js进程运行在用户本地设备（如Electron桌面端主进程、本地部署的Node服务） #

可以直接通过Node内置的os模块枚举本地网络接口，过滤得到私有IP，参考代码如下：

const os = require('os');

/**
 * 获取本地设备所有有效私有IPv4地址
 * @returns {Array<{interface: string, address: string}>} 私有IP列表
 */
function getLocalPrivateIPs() {
  const networkInterfaces = os.networkInterfaces();
  const privateIPList = [];

  for (const interfaceName in networkInterfaces) {
    const interfaceConfigs = networkInterfaces[interfaceName];
    for (const config of interfaceConfigs) {
      // 跳过IPv6地址、回环地址、内部虚拟接口地址
      if (config.family !== 'IPv4' || config.internal) continue;
      
      const ip = config.address;
      // 匹配RFC规定的三段私有IP地址范围
      const isPrivateIP = 
        ip.startsWith('10.') ||
        (
          ip.startsWith('172.') && 
          Number(ip.split('.')[1]) >= 16 && 
          Number(ip.split('.')[1]) <= 31
        ) ||
        ip.startsWith('192.168.');

      if (isPrivateIP) {
        privateIPList.push({
          interface: interfaceName,
          address: ip
        });
      }
    }
  }

  return privateIPList;
}

// 调用示例
const ips = getLocalPrivateIPs();
console.log('本地私有IP列表：', ips);

如果是Electron应用，你只需要在主进程执行上述代码拿到IP后，通过IPC通信把结果传给React所在的渲染进程即可。

场景2：纯公网Web应用 #

你原本的「比对用户私有IP和证书绑定IP」的逻辑无法直接实现，可根据业务场景选择替代方案：

• 若为企业内网部署场景：在内网网关/反向代理层配置规则，将访问者的内网IP通过自定义请求头透传给后端Node服务，由后端完成IP校验，注意该请求头只能由你可控的代理层添加，禁止信任前端直接传递的IP参数，避免伪造。
• 若为公网ToC场景：放弃私有IP校验逻辑，改用更可信的校验维度，比如TLS客户端证书认证、用户身份令牌校验、设备特征校验等。

对你现有代码的说明 #

你当前在React端调用第三方IP查询接口的方案，无论更换多少个同类接口，都只能获取到用户的公网出口IP，不可能拿到私有IP，不需要在这个方向继续尝试。

内容的提问来源于stack exchange，提问作者Kite_Z