求助：AWS Application Load Balancer未向Tomcat传递X-Forwarded-For头

我之前也碰到过几乎一模一样的问题！结合AWS ALB和Tomcat的配置逻辑，给你梳理几个最可能的排查点和解决办法：

1. 确认ALB目标组的请求头传递配置 #

AWS ALB默认会自动添加X-Forwarded-For，但目标组的自定义配置可能会意外屏蔽它：

• 登录AWS控制台，找到你的ALB对应的目标组
• 进入「属性」标签页，查看「修改请求头」部分，确认没有删除或重命名X-Forwarded-For的规则
• 如果有自定义请求头修改规则，检查是否不小心覆盖了默认的X-Forwarded-For

2. 给Tomcat配置RemoteIpValve解析代理请求头 #

这是最容易被忽略的关键点！Tomcat默认不会自动识别代理传递的X-Forwarded-*头，必须通过专门的阀门来解析：

• 打开Tomcat的conf/server.xml，找到和ALB通信的HTTP Connector配置块
• 添加RemoteIpValve配置，示例如下：

<Valve className="org.apache.catalina.valves.RemoteIpValve"
       remoteIpHeader="X-Forwarded-For"
       protocolHeader="X-Forwarded-Proto"
       portHeader="X-Forwarded-Port"/>

• 注意：如果你的Connector配置了scheme="https"或secure="true"，结合这个阀门才能正确映射真实客户端IP（毕竟ALB做了SSL卸载，Tomcat收到的是HTTP请求）

3. 验证Tomcat是否真的没收到请求头（排除代码问题） #

有时候不是ALB没传，而是代码获取方式不对：

• 可以在Tomcat的conf/server.xml里开启请求头日志，添加AccessLogValve把请求头打印出来：

<Valve className="org.apache.catalina.valves.AccessLogValve"
       directory="logs"
       prefix="localhost_access_log"
       suffix=".txt"
       pattern="%h %l %u %t &quot;%r&quot; %s %b &quot;%{Referer}i&quot; &quot;%{User-Agent}i&quot; &quot;%{X-Forwarded-For}i&quot;"/>

• 重启Tomcat后访问应用，查看localhost_access_log文件：如果日志里有X-Forwarded-For记录，那就是代码获取方式有问题；如果没有，再回到ALB配置排查

4. 检查ALB监听规则的请求头操作 #

除了目标组，ALB的监听规则也可能修改请求头：

• 进入ALB的「监听」标签页，查看每个监听规则的「操作」部分，确认没有删除X-Forwarded-For的动作
• 避免自定义请求头操作时，不小心覆盖了默认的X-Forwarded-For

5. 排查ALB与Tomcat之间的中间件（如果有） #

如果两者之间还有Nginx、Apache等中间件，它们可能会过滤或替换X-Forwarded-For：

• 比如Nginx需要配置proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;，这样才会保留客户端IP+ALB IP的链式记录，而不是只替换成中间件自身的IP

我当时就是因为Tomcat没加RemoteIpValve，导致即使ALB传了X-Forwarded-For，Tomcat也没把它识别为客户端IP，加了阀门之后就正常了，希望这些步骤能帮到你！

内容的提问来源于stack exchange，提问作者Jaya