【发布时间】：2010-12-10 17:23:16
【问题描述】：
我知道有大量的 $_SERVER 变量标头可用于 IP 地址检索。我想知道对于如何使用所述变量最准确地检索用户的真实 IP 地址（众所周知，没有一种方法是完美的），是否存在普遍共识？
我花了一些时间试图找到一个深入的解决方案，并根据许多来源提出了以下代码。如果有人可以在答案中戳洞或阐明一些可能更准确的东西，我会很高兴。
编辑包括来自@Alix 的优化
/**
* Retrieves the best guess of the client's actual IP address.
* Takes into account numerous HTTP proxy headers due to variations
* in how different ISPs handle IP addresses in headers between hops.
*/
public function get_ip_address() {
// Check for shared internet/ISP IP
if (!empty($_SERVER['HTTP_CLIENT_IP']) && $this->validate_ip($_SERVER['HTTP_CLIENT_IP']))
return $_SERVER['HTTP_CLIENT_IP'];
// Check for IPs passing through proxies
if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
// Check if multiple IP addresses exist in var
$iplist = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
foreach ($iplist as $ip) {
if ($this->validate_ip($ip))
return $ip;
}
}
}
if (!empty($_SERVER['HTTP_X_FORWARDED']) && $this->validate_ip($_SERVER['HTTP_X_FORWARDED']))
return $_SERVER['HTTP_X_FORWARDED'];
if (!empty($_SERVER['HTTP_X_CLUSTER_CLIENT_IP']) && $this->validate_ip($_SERVER['HTTP_X_CLUSTER_CLIENT_IP']))
return $_SERVER['HTTP_X_CLUSTER_CLIENT_IP'];
if (!empty($_SERVER['HTTP_FORWARDED_FOR']) && $this->validate_ip($_SERVER['HTTP_FORWARDED_FOR']))
return $_SERVER['HTTP_FORWARDED_FOR'];
if (!empty($_SERVER['HTTP_FORWARDED']) && $this->validate_ip($_SERVER['HTTP_FORWARDED']))
return $_SERVER['HTTP_FORWARDED'];
// Return unreliable IP address since all else failed
return $_SERVER['REMOTE_ADDR'];
}
/**
* Ensures an IP address is both a valid IP address and does not fall within
* a private network range.
*
* @access public
* @param string $ip
*/
public function validate_ip($ip) {
if (filter_var($ip, FILTER_VALIDATE_IP,
FILTER_FLAG_IPV4 |
FILTER_FLAG_IPV6 |
FILTER_FLAG_NO_PRIV_RANGE |
FILTER_FLAG_NO_RES_RANGE) === false)
return false;
self::$ip = $ip;
return true;
}
警告词（更新）
REMOTE_ADDR 仍然代表最可靠的 IP 地址来源。这里提到的其他$_SERVER 变量很容易被远程客户端欺骗。此解决方案的目的是尝试确定位于代理后面的客户端的 IP 地址。出于一般目的，您可以考虑将其与直接从$_SERVER['REMOTE_ADDR'] 返回的 IP 地址结合使用并存储两者。
对于 99.9% 的用户而言，此解决方案将完全满足您的需求。它无法保护您免受 0.1% 的恶意用户的攻击，他们希望通过注入自己的请求标头来滥用您的系统。如果依赖 IP 地址完成关键任务，请使用 REMOTE_ADDR，不要费心迎合代理背后的人。
【问题讨论】：
-
对于 whatismyip.com 的问题，我认为他们会执行类似此脚本的操作，您是否在本地运行它？如果这就是你拥有内部 IP 的原因，那么在这种情况下不会通过公共接口发送任何内容，因此 php 无法获取任何信息
-
确保在实施时牢记这一点：stackoverflow.com/questions/1672827/…
-
请记住，所有这些 HTTP 标头都非常容易修改：使用您的解决方案，我只需将浏览器配置为发送带有随机 IP 的 X-Forwarded-For 标头，您的脚本就会愉快地返回一个假地址。因此，根据您要执行的操作，此解决方案可能不如简单地使用 REMOTE_ADDR 可靠。
-
OMFG，“不可靠的 ip”！我第一次在这里看到这样的废话。唯一可靠的 IP 地址是 REMOTE_ADDR
-
-1 这很容易受到欺骗。您所做的只是询问用户他的 IP 地址应该是什么。
标签： php ip-address