获取用户IP实现定位的代码准确性分析及优化咨询

你当前使用的是Django生态下非常常见的客户端IP获取写法，执行逻辑非常清晰：

• 优先读取请求头HTTP_X_FORWARDED_FOR，该字段由请求链路经过的代理服务器逐跳追加，格式为客户端真实IP, 一级代理IP, 二级代理IP...，代码默认取逗号分割后的第一个值作为用户IP
• 若请求中不存在X-Forwarded-For头，则直接读取REMOTE_ADDR字段，该字段记录的是和当前Web服务直接建立TCP连接的对端IP地址

这段代码在没有反向代理的直连部署场景下可以正常工作，但只要服务经过CDN、Nginx反向代理等中间节点，就会存在明显的准确性问题：

• X-Forwarded-For字段完全可被客户端伪造，如果你的服务没有在代理层过滤用户自定义的该请求头，攻击者可以随意传递虚假IP，代码取到的结果完全不可信
• 直接取逗号分割后的第一个值没有处理格式脏数据：部分代理追加IP时会在逗号后加空格，直接取值会拿到带空白字符的无效IP
• 没有做可信代理校验：如果你的服务经过多层内网代理，直接取第一个值可能拿到内网代理地址，而非真实用户IP
• 没有覆盖其他通用代理头：大部分反向代理、CDN服务会通过X-Real-IP头直接传递真实客户端IP，现有代码没有读取该字段，可能漏取正确值

首先明确一个核心原则：只有当和你服务直连的对端IP属于你自己可控的可信代理时，代理传递的IP头才具备参考价值，否则REMOTE_ADDR是唯一可信的IP来源。
优化后的参考代码如下：

import ipaddress

# 替换为你实际部署环境中的可信代理IP/IP段，比如本地回环、内网代理段、CDN节点段
TRUSTED_PROXIES = {
    "127.0.0.1",
    "::1",
    "10.0.0.0/8",
    "172.16.0.0/12",
    "192.168.0.0/16"
}

def _is_trusted_proxy(ip_str: str) -> bool:
    try:
        ip = ipaddress.ip_address(ip_str)
        for proxy_cidr in TRUSTED_PROXIES:
            if ip in ipaddress.ip_network(proxy_cidr, strict=False):
                return True
        return False
    except ValueError:
        return False

def get_client_real_ip(request) -> str:
    # 默认取直连对端IP
    real_ip = request.META.get("REMOTE_ADDR", "")
    if not _is_trusted_proxy(real_ip):
        return real_ip
    
    # 直连是可信代理时，优先读取X-Real-IP头
    x_real_ip = request.META.get("HTTP_X_REAL_IP", "").strip()
    if x_real_ip and not _is_trusted_proxy(x_real_ip):
        return x_real_ip
    
    # 遍历X-Forwarded-For，从后往前跳过所有可信代理IP，第一个非可信IP就是真实用户IP
    x_forwarded_for = request.META.get("HTTP_X_FORWARDED_FOR", "")
    if x_forwarded_for:
        ip_list = [ip.strip() for ip in x_forwarded_for.split(",") if ip.strip()]
        for ip in reversed(ip_list):
            if not _is_trusted_proxy(ip):
                return ip
    
    return real_ip

部署配套注意事项 #

• 必须在最外层反向代理/CDN层面做配置，覆盖用户传入的X-Forwarded-For、X-Real-IP头，禁止用户伪造的头透传到应用层。比如Nginx代理配置中需要明确写proxy_set_header X-Forwarded-For $remote_addr;，不要追加用户传入的原值。
• 如果使用云厂商CDN、WAF服务，优先读取厂商官方文档指定的真实IP传递头，这类头通常会在厂商节点做校验，伪造难度更高。
• IP解析定位本身存在固有误差：运营商NAT、移动网络、代理/VPN场景下，IP归属地只能作为粗粒度参考，无法实现精确定位。

内容的提问来源于stack exchange，提问作者Muhamed Muslim