php获取客户端ip：保障网站安全，防止恶意攻击

发布日期： 2025-10-07 阅读量： 作者： admin

今天就来聊聊用PHP搞IP地址这事儿。刚开始弄网站那会儿，就想着记录下谁来看了我的小破站，或者有时候遇到捣乱的，想把他IP给封掉。这不就得先拿到人家IP地址嘛

最初的尝试

我啥也不懂，就在网上随便搜了一下，大家都说用$_SERVER['REMOTE_ADDR']。行，简单，直接拿来用。试了试，确实能拿到一个IP地址，当时还挺高兴，觉得这不挺容易的嘛

代码大概就类似这样：

$ip = $_SERVER['REMOTE_ADDR'];

就这么简单一行，然后我就把这个$ip存到日志里，或者加到我的黑名单列表里。

遇到问题了

跑了一段时间，发现有点不对劲。有时候看访问日志，好几个不同的人，IP地址居然是一样的！当时就纳闷了，难道他们是同一个地方上网的？后来查了查资料，又问了问别人，才知道有种东西叫“代理服务器”。

特别是有些公司或者学校出口是同一个IP，还有些人用CDN或者其他加速服务，REMOTE_ADDR拿到的可能就是那个代理服务器或者CDN节点的IP，根本不是访客自己真正的IP。这下麻烦了，我要是封了这个IP，岂不是把一大片用这个代理的人都给挡外面了？而且我记录访客真实来源也没戏了。

寻找别的办法

然后我就继续找，发现还有别的$_SERVER变量可以用，比如：

$_SERVER['HTTP_CLIENT_IP']
$_SERVER['HTTP_X_FORWARDED_FOR']

据说这些是代理服务器会加上的头信息，里面可能包含着真实的客户端IP。看起来有希望！我就赶紧试着去读这些变量。

但是，新的问题又来了。 我发现这些HTTP_开头的变量，不是每次都有。有时候有，有时候没有。而且最关键的是，听说这些信息是可以伪造的！也就是说，懂点技术的人，可以随便改这些HTTP头，想填啥IP就填啥IP。这要是拿来做判断，那不是更不靠谱了？

搞得我头都大了，这也不行，那也不安全，到底该用哪个？

我的实践做法

折腾了好一阵子，看了不少别人的讨论和代码，我是这么处理的：

得明白没有绝对完美的办法。 特别是面对可以伪造的情况，100%准确获取真实IP有时候就是不可能。

得看你的服务器环境。 如果你的网站前面有明确配置好的反向代理（比如Nginx），并且你信任这个代理，那么代理通常会把真实IP放在HTTP_X_FORWARDED_FOR里。这种情况下，你可以优先相信这个值。但是要注意，HTTP_X_FORWARDED_FOR可能包含一串IP（用户IP, 代理1, 代理2...），通常第一个才是用户的真实IP，需要处理一下。

如果环境不确定，或者需要更通用的方法，我一般会写个函数，按一定的顺序去检查这些变量：

先看看HTTP_X_FORWARDED_FOR有没有，有的话取第一个IP。
如果上面没有，再看看HTTP_CLIENT_IP有没有。
如果还没有，才用REMOTE_ADDR作为备选。

但是， 对于HTTP_X_FORWARDED_FOR和HTTP_CLIENT_IP，我会做一些基本的检查，比如看看是不是合法的IP格式。虽然不能完全防止伪造，但至少能过滤掉一些明显乱写的数据。

写了个简单的函数大概是这样子（具体实现就不贴代码了，思路就是按顺序检查）：

检查 HTTP_X_FORWARDED_FOR，处理一下，获取第一个有效IP。
如果无效或没有，检查 HTTP_CLIENT_IP，验证格式。
如果还不行，才用 REMOTE_ADDR。

还得强调一点， 如果你获取IP是为了做安全相关的判断，比如防止刷票、限制登录尝试次数，那就要更谨慎了。因为IP是可以变的，也可以被伪造，单纯靠IP来做强安全限制是不够的，得结合其他手段一起用。

对我来说，主要是记录日志和做一些基本的访问限制，比如临时封禁某个频繁攻击的IP段。目前这套组合拳用下来，应付我的需求是够用了。虽然不是银弹，但至少比单用REMOTE_ADDR要靠谱点。

总结一下

用PHP获取客户端IP这事儿，看着简单，实际坑不少。特别是各种代理、CDN掺和进来，还有伪造的风险。我的经验就是：

REMOTE_ADDR最直接，但可能不是真实用户IP。
HTTP_X_FORWARDED_FOR 和 HTTP_CLIENT_IP 可能包含真实IP，但不可靠，可能没有，也可能被伪造。
得结合自己的服务器环境和需求，按优先级、带验证地去获取。
别把IP地址当成绝对安全可靠的身份标识。

反正就是实践出真知，一路踩坑过来，现在算是对这块儿稍微清楚点了。希望我的这点折腾经历对大家有点用处。

上一篇: 还在为注册org域名发愁？看这里，超简单！

php获取客户端ip：保障网站安全，防止恶意攻击

随便看看