PHP中如何获取客户端真实IP（repl.it环境常规代码无效求助）

你在Replit平台部署时拿到固定IP，是因为这类PaaS平台都采用多层反向代理架构：用户请求先到达平台的公网接入网关，再由网关转发到你项目所在的运行容器，你代码里读取的$_SERVER['REMOTE_ADDR']实际是网关和容器通信的内网固定IP，不是用户端IP；同时原有代码对代理头的处理逻辑不符合平台规则，没有读取平台官方注入的真实IP头，才会出现所有用户访问都返回同一个IP的情况。

原有代码的两个核心问题：

• 优先级最高的HTTP_CLIENT_IP头可被用户随意伪造，且Replit平台不会传递这个头
• 直接读取HTTP_X_FORWARDED_FOR的全量值，这个头存储的是逗号分隔的整条代理链路IP列表，不是单个客户端IP，在平台环境下直接读取会拿到包含固定网关IP的链路值

Replit平台会在请求中注入不可被用户伪造的专属头X-Replit-User-IP存储真实客户端IP，优先读取这个头即可拿到准确值，兼容逻辑参考如下代码：

if (!empty($_SERVER['HTTP_X_REPLIT_USER_IP'])) {
    $ip = trim($_SERVER['HTTP_X_REPLIT_USER_IP']);
} elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
    $ipChain = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
    // 遍历IP链取第一个有效公网IP
    foreach ($ipChain as $ipItem) {
        $ipItem = trim($ipItem);
        if (filter_var($ipItem, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
            $ip = $ipItem;
            break;
        }
    }
} else {
    $ip = $_SERVER['REMOTE_ADDR'] ?? 'unknown';
}
$_SESSION['ipAddr'] = $ip;

不要将HTTP_CLIENT_IP作为高优先级的IP判断依据，这个头没有标准化校验规则，任意用户都可以通过修改请求头伪造IP值，存在安全风险。

内容的提问来源于stack exchange，提问作者cheese