【如何从Http请求中获取客户端真实IP地址】

自己记录一下：如何从各类常见代理服务器获取真实客户端的IP地址

1、目前正在使用的代码：

HttpServletRequest request = ((ServletRequestAttributes) RequestContextHolder.getRequestAttributes()).getRequest(); 

String ip = null;

//X-Forwarded-For：Squid 服务代理
String ipAddresses = request.getHeader("X-Forwarded-For");

if (ipAddresses == null || ipAddresses.length() == 0 || "unknown".equalsIgnoreCase(ipAddresses)) {
        //Proxy-Client-IP：apache 服务代理
        ipAddresses = request.getHeader("Proxy-Client-IP");
}


if (ipAddresses == null || ipAddresses.length() == 0 || "unknown".equalsIgnoreCase(ipAddresses)) {
        //WL-Proxy-Client-IP：weblogic 服务代理
        ipAddresses = request.getHeader("WL-Proxy-Client-IP");
}


if (ipAddresses == null || ipAddresses.length() == 0 || "unknown".equalsIgnoreCase(ipAddresses)) {
        //HTTP_CLIENT_IP：有些代理服务器
        ipAddresses = request.getHeader("HTTP_CLIENT_IP");
}


if (ipAddresses == null || ipAddresses.length() == 0 || "unknown".equalsIgnoreCase(ipAddresses)) {
        //X-Real-IP：nginx服务代理
        ipAddresses = request.getHeader("X-Real-IP");
}

//有些网络通过多层代理，那么获取到的ip就会有多个，一般都是通过逗号（,）分割开来，并且第一个ip为客户端的真实IP
if (ipAddresses != null && ipAddresses.length() != 0) {
        ip = ipAddresses.split(",")[0];
}

//还是不能获取到，最后再通过request.getRemoteAddr();获取
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ipAddresses)) {
        ip = request.getRemoteAddr();
}

return ip;

2、请求头的意思：

2.1、X-Forwarded-For：

这是一个 Squid 开发的字段，只有在通过了 HTTP 代理或者负载均衡服务器时才会添加该项。格式为X-Forwarded-For: client1, proxy1, proxy2。一般情况下，第一个ip为客户端真实ip，后面的为经过的代理服务器ip。现在大部分的代理都会加上这个请求头

2.2、Proxy-Client-IP / WL- Proxy-Client-IP：

这个一般是经过apache http服务器的请求才会有，用apache http做代理时一般会加上Proxy-Client-IP请求头，而WL- Proxy-Client-IP是他的weblogic插件加上的头

2.3、HTTP_CLIENT_IP：有些代理服务器会加上此请求头

2.4、X-Real-IP：Nginx代理一般会加上此请求头。

3、注意事项：

3.1、这些请求头都不是http协议里的标准请求头，也就是说这个是各个代理服务器自己规定的表示客户端地址的请求头。如果哪天有一个代理服务器软件用abcdef-client-ip这个请求头代表客户端请求，那上面的代码就不行了。

3.2、这些请求头不是代理服务器一定会带上的，网络上的很多匿名代理就没有这些请求头，所以获取到的客户端ip不一定是真实的客户端ip。代理服务器一般都可以自定义请求头设置。

3.3、即使请求经过的代理都会按自己的规范附上代理请求头，上面的代码也不能确保获得的一定是客户端ip。不同的网络架构，判断请求头的顺序是不一样的。

3.4、最重要的一点，请求头都是可以伪造的。如果一些对客户端校验较严格的应用（比如投票）要获取客户端ip，应该直接使用ip = request.getRemoteAddr ()，虽然获取到的可能是代理的ip而不是客户端的ip，但这个获取到的ip基本上是不可能伪造的，也就杜绝了刷票的可能。(有分析说arp欺骗+syn有可能伪造此ip，如果真的可以，这是所有基于TCP协议都存在的漏洞)，这个ip是tcp连接里的ip。

4、参考的文章如下：
--------------------- 
作者：fengwind1 
来源：CSDN 
原文：https://blog.csdn.net/fengwind1/article/details/51992528 
版权声明：本文为博主原创文章，转载请附上博文链接！