Express使用Nginx反向代理时，已配置trust proxy仍无法获取真实用户IP怎么办

核心根因 #

你遇到的所有请求IP记录为127.0.0.1、限流规则误判的问题，是反向代理链路的两处配置缺失/不匹配导致的，不是单纯某一端的参数问题： #

1. Nginx端未配置真实IP转发头 #

Express的trust proxy机制的作用，是「信任指定来源的代理传递过来的客户端IP请求头」，但Nginx默认转发请求时，并不会主动把客户端的真实IP塞到请求头里传给后端。

• 需要在Nginx对应站点的反向代理配置块中，手动补全转发头配置，示例参考：

location / {
    proxy_pass http://127.0.0.1:你的Express服务监听端口;
    proxy_set_header Host $host;
    # 核心头：传递客户端真实IP
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
}

缺了这部分配置，哪怕Express端把trust proxy的权限拉满，也没有可读取的真实IP数据，拿到的永远是Nginx连接后端的回环地址127.0.0.1。

2. Express端trust proxy配置的生效逻辑不匹配 #

你目前写的app.set('trust proxy', '127.0.0.1')存在两个高频踩坑点：

• 配置加载顺序错误：app.set('trust proxy', ...)必须写在所有中间件（包括morgan日志、express-rate-limit限流）加载之前。如果先初始化了morgan和限流中间件，再设置trust proxy，中间件启动时根本读不到生效的代理配置，拿到的IP始终是回环地址。
  举个典型的错误配置顺序：

  // 错误：先加载中间件，后设置trust proxy
  app.use(morgan('combined'));
  const limiter = rateLimit({...});
  app.use(limiter);
  // 此时再设置trust proxy已经无法影响已初始化的中间件
  app.set('trust proxy', '127.0.0.1');
  

• 信任规则匹配失败：当设置trust proxy: '127.0.0.1'时，Express仅会信任来源IP严格等于127.0.0.1的代理传递的IP头。如果Nginx连接后端时，不是走回环地址（比如同机部署但Nginx通过服务器物理网卡IP连接Express服务），这个匹配规则就会失效，Express会直接忽略所有转发的IP头。
  针对同机部署的场景，可以将配置调整为更稳妥的形式：

  // 同机部署时直接开启信任，Express会自动从X-Forwarded-For链中提取最真实的客户端IP
  app.set('trust proxy', true);
  

  如果是多级代理部署，可以按代理层级把所有代理IP加入信任列表，不要仅绑定单个127.0.0.1的匹配规则。

3. 限流配置的兜底校验 #

完成上面两处调整后，需要对express-rate-limit的IP读取逻辑做兜底校验，避免老版本组件的兼容问题导致限流规则依然基于回环IP计数：

const limiter = rateLimit({
  windowMs: 60 * 60 * 1000,
  max: 1000,
  // 显式指定IP获取逻辑
  keyGenerator: (req) => {
    return req.ip || req.connection.remoteAddress || req.socket.remoteAddress;
  }
});

内容的提问来源于stack exchange，提问作者Xaarth