ASP.NET MVC中使用C#获取不可伪造的真实客户端IP是否可行？

不存在绝对满足「完全无法伪造+穿透所有代理拿到真实IP」的技术方案，但可以通过以下方案实现高可信度的客户端IP获取，可满足绝大多数业务场景需求：

只要请求需要经过公网转发，就没有100%无法伪造的客户端IP。常规业务场景下，我们可以通过「可信代理白名单+请求头校验」的组合方案，将IP伪造风险降到几乎可以忽略的水平，同时拿到代理后的真实客户端IP。

方案逻辑 #

1. 将你业务所有的前置节点（CDN、反向代理、负载均衡等）的IP段全部加入可信白名单
2. 配置前置节点强制覆盖用户传入的X-Forwarded-For请求头，避免用户自行伪造请求头内容
3. 应用层从TCP连接IP（即HttpContext.Request.UserHostAddress）开始，反向过滤X-Forwarded-For的IP链，跳过所有可信代理IP，剩下的第一个IP就是真实客户端IP

代码实现 #

首先在Web.config中配置可信代理IP段：

<appSettings>
    <!-- 多个IP段用英文逗号分隔，替换为你实际的代理/CDN/负载均衡IP段 -->
    <add key="TrustedProxyIpRanges" value="10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,123.123.123.0/24" />
</appSettings>

然后编写IP获取工具方法：

using System;
using System.Collections.Generic;
using System.Configuration;
using System.Linq;
using System.Net;
using System.Net.Sockets;
// IPNetwork类可自行实现IP段匹配逻辑，也可直接引入官方相关类库
using IPNetwork = Microsoft.AspNetCore.HttpOverrides.IPNetwork;

namespace YourProjectNamespace.Utils
{
    public static class IpHelper
    {
        private static readonly List<IPNetwork> _trustedProxies = LoadTrustedProxies();

        private static List<IPNetwork> LoadTrustedProxies()
        {
            var configValue = ConfigurationManager.AppSettings["TrustedProxyIpRanges"];
            if (string.IsNullOrWhiteSpace(configValue)) return new List<IPNetwork>();
            
            return configValue.Split(',')
                .Select(r => r.Trim())
                .Where(r => !string.IsNullOrEmpty(r))
                .Select(IPNetwork.Parse)
                .ToList();
        }

        public static string GetRealClientIp(HttpContextBase context)
        {
            // 先获取TCP连接层面的IP，本身伪造难度极高
            var connectionIp = context.Request.UserHostAddress;
            if (!IPAddress.TryParse(connectionIp, out var connectionIpAddr)) 
                return connectionIp;

            // 如果直连的IP不是可信代理，直接返回连接IP
            if (!_trustedProxies.Any(network => network.Contains(connectionIpAddr)))
                return connectionIp;

            // 是可信代理，读取X-Forwarded-For头，反向遍历跳过所有可信代理IP
            var xffHeader = context.Request.Headers["X-Forwarded-For"];
            if (string.IsNullOrWhiteSpace(xffHeader)) 
                return connectionIp;

            var ipChain = xffHeader.Split(',')
                .Select(ip => ip.Trim())
                .Where(ip => !string.IsNullOrEmpty(ip))
                .Reverse()
                .ToList();

            foreach (var ip in ipChain)
            {
                if (!IPAddress.TryParse(ip, out var ipAddr)) continue;
                if (!_trustedProxies.Any(network => network.Contains(ipAddr)))
                {
                    return ip;
                }
            }

            return connectionIp;
        }
    }
}

• 如果你的应用没有前置代理，用户直接访问应用服务器，直接使用HttpContext.Request.UserHostAddress即可，该IP是TCP连接层获取的，除非用户完成TCP会话劫持，否则无法伪造，安全性最高。
• 如果是极高安全要求的业务场景，可以要求客户端通过VPN/专线连接你的服务，该场景下获取的IP由运营商分配，几乎不存在伪造可能。

不要直接读取X-Forwarded-For的第一个IP作为客户端IP，该值可以被用户任意伪造，没有可信度。

内容的提问来源于stack exchange，提问作者Ben.S