ASP.NET MVC获取客户端DHCP分配IP始终返回127.0.0.1

调用相关接口始终返回127.0.0.1的核心逻辑是：上述方法默认获取的是 与当前MVC应用直接建立TCP连接的对端IP，而非最初发起请求的客户端真实IP，常见触发场景如下：

• 本地开发阶段使用VS自带IIS Express启动站点，服务默认仅绑定回环地址，若使用内网穿透工具、本地端口转发工具暴露服务，MVC应用收到的请求全部来自本机运行的转发客户端，来源IP自然为127.0.0.1
• 站点部署时前置了反向代理层，包括IIS ARR、Nginx、CDN、WAF、负载均衡服务等，且代理层未配置真实IP透传规则，MVC应用收到的所有请求都来自同机部署的代理服务，返回的IP即为回环地址
• 测试时直接在服务器本机通过localhost/127.0.0.1访问站点，获取到的必然是回环地址

第一步：配置代理层IP透传规则 #

如果站点前置了反向代理，需要先在代理层配置真实IP透传：

• IIS ARR：开启HTTP_X_FORWARDED_FOR头透传规则，配置ARR将真实客户端IP写入该请求头后再转发给MVC应用
• Nginx：在站点对应配置的location段添加以下配置，将真实客户端IP写入请求头：

proxy_set_header X-Forwarded-For $remote_addr;

• 公网CDN/云WAF：在对应云服务控制台开启真实IP透传，记录服务厂商指定的存储真实IP的请求头字段，后续代码优先读取该字段。

第二步：MVC端通用IP获取实现 #

编写通用扩展方法，按优先级读取代理透传的IP头，增加合法性校验避免IP伪造，兜底读取直接连接IP：

public static class RequestExtension
{
    public static string GetClientRealIp(this HttpRequestBase request)
    {
        // 优先读取X-Forwarded-For头，该头格式为逗号分隔的IP列表，第一个为真实客户端IP
        string forwardedIpStr = request.ServerVariables["HTTP_X_FORWARDED_FOR"];
        if (!string.IsNullOrWhiteSpace(forwardedIpStr))
        {
            string[] ipList = forwardedIpStr.Split(new[] { ',' }, StringSplitOptions.RemoveEmptyEntries);
            if (ipList.Length > 0 && IPAddress.TryParse(ipList[0].Trim(), out _))
            {
                return ipList[0].Trim();
            }
        }
        // 其次读取X-Real-IP头，部分Nginx/代理默认用该字段传真实IP
        string realIp = request.ServerVariables["HTTP_X_REAL_IP"];
        if (!string.IsNullOrWhiteSpace(realIp) && IPAddress.TryParse(realIp.Trim(), out _))
        {
            return realIp.Trim();
        }
        // 无代理头时兜底读取直接连接的对端IP
        return request.UserHostAddress;
    }
}

控制器中调用方式：

string clientIp = Request.GetClientRealIp();

本地调试注意事项 #

本地开发测试同局域网客户端访问场景时，不要使用IIS Express默认的localhost绑定：

1. 右键点击任务栏托盘的IIS Express图标，选择「显示所有应用程序」，选中当前调试的站点，修改applicationhost.config配置，将站点绑定到本机当前的局域网IP（即DHCP分配的、与其他客户端同网段的IP，一般为192.168.x.x/10.x.x.x段）
2. 开放Windows防火墙对应站点端口的入站规则，确保其他客户端可以直接通过http://[服务器局域网IP]:[端口]访问站点，此时无需代理即可直接获取到正确的客户端IP。

安全提示：如果站点前置了公网CDN/WAF，必须配置回源白名单，仅允许CDN/WAF节点IP访问站点源站，同时仅信任CDN厂商指定的真实IP请求头，避免攻击者伪造请求头伪造客户端IP。

内容的提问来源于stack exchange，提问作者Mohammad Jalal Ahmadzai