使用mod_rpaf/mod_remoteip无法修正远程IP及REMOTE_ADDR问题

我之前迁移老旧PHP项目的时候也碰到过完全一样的问题——Nginx反向代理后Apache的REMOTE_ADDR一直是127.0.0.1，试了好几种方法才搞定，给你几个更根治的思路，比业务代码里到处写判断要靠谱：

1. 用Apache官方模块mod_remoteip替代mod_rpaf（优先推荐） #

mod_rpaf现在维护不算活跃，Apache 2.4自带的mod_remoteip是官方解决方案，兼容性更好。你之前说没用，大概率是配置没到位：

正确配置步骤： #

1. 确保模块已加载（Debian 10下默认可能已经加载，可通过apache2ctl -M | grep remoteip确认），如果没加载，在/etc/apache2/mods-available/remoteip.load里添加：

   LoadModule remoteip_module /usr/lib/apache2/modules/mod_remoteip.so
   

   然后执行a2enmod remoteip启用模块。

2. 在Apache的全局配置或虚拟主机配置里添加：

   # 指定从哪个Header获取真实IP
   RemoteIPHeader X-Real-IP
   # 信任来自Nginx的请求（这里Nginx和Apache同服务器，所以是127.0.0.1）
   RemoteIPInternalProxy 127.0.0.1
   

3. （可选但建议）修改Apache日志格式，用%a替代%h，这样日志里也会显示真实IP：

   LogFormat "%a %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
   

重启Apache后，PHP的$_SERVER['REMOTE_ADDR']应该就会自动替换为Nginx传递的X-Real-IP了。

2. 修正mod_rpaf的配置（如果你坚持用它） #

如果你一定要用mod_rpaf，得确保配置的几个关键点没出错：

• 不要注释<IfModule rpaf_module>，反而要确认模块名正确（Debian下模块名就是rpaf_module）
• 必须指定RPAFproxy_ips，只有来自这个IP的请求，模块才会替换IP：

  <IfModule rpaf_module>
      RPAFenable On
      RPAFsethostname On
      # 这里填Nginx的IP，同服务器就是127.0.0.1
      RPAFproxy_ips 127.0.0.1
      RPAFheader X-Real-IP
  </IfModule>
  

• 还要确保mod_rpaf是针对Apache 2.4编译的版本，老版本可能不兼容2.4的API，导致替换不生效。

3. 检查PHP运行模式的兼容性 #

如果你的PHP是用php-fpm运行（而非mod_php），那Apache的模块替换可能无法直接传递到PHP的$_SERVER里，这时候需要：

1. 在Apache的虚拟主机配置里，给php-fpm的代理传递真实IP：

   ProxyPassMatch ^/(.*\.php(/.*)?)$ fcgi://127.0.0.1:9000/your/project/path/$1
   # 把X-Real-IP传递给php-fpm
   RequestHeader set X-Real-IP "%{REMOTE_ADDR}s"
   

2. 在php-fpm的www.conf里，允许来自Apache的请求，并可配合auto_prepend_file做替换（但这时候用mod_remoteip还是更直接）。

4. 优化auto_prepend_file的临时方案 #

如果以上方法都暂时走不通，你可以把auto_prepend_file的代码写得更安全优雅，不用在业务代码里重复判断：
创建一个fix_remote_ip.php文件，内容如下：

<?php
// 只信任来自Nginx的真实IP，避免伪造
if (isset($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
    $_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_REAL_IP'];
    // 可选：如果Nginx传递了真实端口，也一并替换
    if (isset($_SERVER['HTTP_X_REAL_PORT'])) {
        $_SERVER['REMOTE_PORT'] = $_SERVER['HTTP_X_REAL_PORT'];
    }
}

然后在php.ini里配置：

auto_prepend_file = /path/to/fix_remote_ip.php

这样所有PHP请求都会自动执行这段代码，统一替换REMOTE_ADDR，不用改业务代码。

内容的提问来源于stack exchange，提问作者mephisto123