本地服务器IP获取正常，部署到生产服务器后显示错误IP

嘿，我看你这IP获取的问题在生产环境栽跟头了，咱们一步步拆解问题和解决办法：

先看你给出的代码，几个明显的坑直接导致了生产环境的错误：

• 第一行的强制赋值完全错误：$_SERVER['REMOTE_ADDR'] = $_SERVER['HTTP_X_REAL_IP'];这行直接覆盖了最可靠的REMOTE_ADDR值，如果生产环境没有配置HTTP_X_REAL_IP头，会把REMOTE_ADDR设为空，后续逻辑直接乱套。
• 没有区分可信代理：生产环境大多会用反向代理（Nginx、CDN等），X-Forwarded-*这类头可能被客户端伪造，直接信任所有来源的这些头会导致获取到错误的IP。
• 环境变量获取不可靠：getenv()的方式不如直接使用$_SERVER数组，不同服务器的环境变量映射规则可能不一致，容易出现取不到值的情况。

下面是兼顾安全性和准确性的IP获取逻辑，核心是只信任来自你控制的代理的IP头：

function getClientIp() {
    $ip = 'UNKNOWN';
    // 替换成你生产环境的可信代理IP/IP段（比如Nginx服务器IP、CDN的IP段）
    $trustedProxies = ['127.0.0.1', '192.168.0.0/24'];

    // 先判断当前请求是否来自可信代理
    $isFromTrustedProxy = isTrustedProxy($_SERVER['REMOTE_ADDR'], $trustedProxies);

    // 优先取X-Real-IP（如果来自可信代理）
    if ($isFromTrustedProxy && !empty($_SERVER['HTTP_X_REAL_IP'])) {
        $ip = trim($_SERVER['HTTP_X_REAL_IP']);
    }
    // 再处理X-Forwarded-For（可能包含多个IP，取第一个真实客户端IP）
    elseif ($isFromTrustedProxy && !empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
        $ipList = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
        $ip = reset($ipList);
    }
    // 都不满足的话，直接用REMOTE_ADDR
    elseif (!empty($_SERVER['REMOTE_ADDR'])) {
        $ip = $_SERVER['REMOTE_ADDR'];
    }

    // 验证IP格式，防止伪造的无效值
    if (!filter_var($ip, FILTER_VALIDATE_IP)) {
        $ip = 'UNKNOWN';
    }

    return $ip;
}

// 辅助函数：检查当前请求的来源IP是否属于可信代理
function isTrustedProxy($ip, $trustedProxies) {
    foreach ($trustedProxies as $proxy) {
        if (strpos($proxy, '/') !== false) {
            // 处理CIDR格式的IP段
            list($subnet, $mask) = explode('/', $proxy);
            $ipLong = ip2long($ip);
            $subnetLong = ip2long($subnet);
            $maskLong = -1 << (32 - (int)$mask);
            
            if ($ipLong !== false && $subnetLong !== false && ($ipLong & $maskLong) === ($subnetLong & $maskLong)) {
                return true;
            }
        } else {
            // 处理单个IP
            if ($ip === $proxy) {
                return true;
            }
        }
    }
    return false;
}

• 反向代理配置（以Nginx为例）：
  确保Nginx在转发请求时正确传递真实IP头，在你的server配置中添加：

  proxy_set_header X-Real-IP $remote_addr;
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  

• CDN场景（比如Cloudflare）：
  需要把CDN的官方IP段添加到$trustedProxies中，这样才能正确获取到客户端的真实IP。
• 永远不要信任未验证的头：
  绝对不能直接使用客户端发送的X-Forwarded-*头，必须先验证请求是否来自你信任的代理服务器，否则很容易被伪造IP。

内容的提问来源于stack exchange，提问作者user7812258