Spring Boot中使用Tomcat RemoteIpFilter的配置及相关问题咨询

问题1解答 #

使用RemoteIpFilter获取用户真实IP是非常合理的成熟方案：

• 它是Tomcat官方内置的过滤器，经过大量生产环境验证，比手动解析X-Forwarded-For请求头的容错性和安全性更高，内置了可信代理校验、多代理场景下的IP拼接逻辑、非法IP过滤能力，还能同步处理X-Forwarded-Proto等转发头，适配HTTPS原始请求的识别。
• Spring Boot本身也提供了原生支持，只要配置server.forward-headers-strategy = native就会自动注册该过滤器，属于官方推荐的实现方案。

问题2解答 #

你遇到的multipart请求报错，本质原因是RemoteIpFilter在Spring Security的FilterChainProxy之后执行时，请求已经被封装为StrictFirewalledRequest，该类会对请求头做严格的字符校验，multipart请求的Content-Type头里boundary参数自带的双引号被判定为非法字符。
更优的解决方案有两个，优先推荐第一个：

• 调整过滤器执行顺序，让RemoteIpFilter在FilterChainProxy之前执行。你当前的方案其实不是临时方案，本来就符合请求处理的逻辑：IP解析属于请求的基础信息预处理，应该在所有业务/安全组件之前完成，处理完成后后续所有组件拿到的都是正确的真实IP，不会出现重复解析的问题。
• 若不想调整顺序，可以自定义StrictHttpFirewall规则，放宽Content-Type头的字符校验允许双引号存在，但该方案会降低请求头的安全校验强度，不推荐生产环境使用。

问题3解答 #

RemoteIpFilter的最优执行顺序是请求链路最靠前的位置，早于所有需要用到用户IP的组件：

• Spring Security的FilterChainProxy默认执行顺序是-100（对应SecurityProperties.DEFAULT_FILTER_ORDER常量），你只需要把RemoteIpFilter的order设置为小于-100即可，比如-101或者Ordered.HIGHEST_PRECEDENCE + 10，不需要依赖Sleuth的配置常量，避免后续去掉Sleuth组件后配置失效。
• 优先级放在链路最前面的好处是，后续的链路追踪、日志打印、安全校验、限流规则等所有组件，都可以直接调用request.getRemoteAddr()拿到正确的真实IP，不需要重复处理转发头。

内容的提问来源于stack exchange，提问作者Rad