Express.js：如何获取远程客户端地址

Question

我不完全明白我应该如何获取远程用户 IP 地址。

假设我有一个简单的请求路由，例如：

app.get(/, function (req, res){
   var forwardedIpsStr = req.header('x-forwarded-for');
   var IP = '';

   if (forwardedIpsStr) {
      IP = forwardedIps = forwardedIpsStr.split(',')[0];  
   }
});

上述方法是否正确获取真实用户 IP 地址还是有更好的方法？ 那么代理呢？

Answer 1

如果您在 NGiNX 之类的代理或您拥有的代理后面运行，那么您应该检查'x-forwarded-for'：

var ip = req.headers['x-forwarded-for'] || req.socket.remoteAddress 

如果代理不是“你的”，我不会信任 'x-forwarded-for' 标头，因为它可能会被欺骗。

Answer 2

如果您可以使用 3rd-party 库。您可以查看request-ip。

你可以通过

import requestIp from 'request-ip';

app.use(requestIp.mw())

app.use((req, res) => {
  const ip = req.clientIp;
});

源码比较长，这里就不复制了，大家可以去https://github.com/pbojinov/request-ip/blob/master/src/index.js查看

基本上，

它在请求中查找特定的标头并回退到一些 如果它们不存在，则为默认值。

用户ip由以下顺序决定：

1. X-Client-IP
2. X-Forwarded-For (Header 可能会返回多个 IP 地址，格式为："client IP, proxy 1 IP, proxy 2 IP"，所以我们取第一个 一）
3. CF-Connecting-IP (Cloudflare)
4. Fastly-Client-Ip（转发到云功能时的快速 CDN 和 Firebase 托管标头）
5. True-Client-Ip（Akamai 和 Cloudflare）
6. X-Real-IP（Nginx 代理/FastCGI）
7. X-Cluster-Client-IP（Rackspace LB，Riverbed Stingray）
8. X-Forwarded、Forwarded-For 和 Forwarded（#2 的变体）
9. req.connection.remoteAddress
10. req.socket.remoteAddress
11. req.connection.socket.remoteAddress
12. req.info.remoteAddress

如果找不到 IP 地址，它将返回null。

披露：我与图书馆无关。

Answer 3

我为此编写了一个包。您可以将其用作快速中间件。我的包发布在这里：https://www.npmjs.com/package/express-ip

您可以使用

安装模块

npm i express-ip

用法

const express = require('express');
const app = express();
const expressip = require('express-ip');
app.use(expressip().getIpInfoMiddleware);

app.get('/', function (req, res) {
    console.log(req.ipInfo);
});

Answer 4

就我而言，类似于this 解决方案，我最终使用了以下x-forwarded-for 方法：

let ip = (req.headers['x-forwarded-for'] || '').split(',')[0];

x-forwarded-for 标头会不断添加从源站到最终目标服务器的 IP 路由，因此如果您需要检索源站客户端的 IP，这将是 第一项 的数组。

Answer 5

将所有 witk @kakopappa 解决方案加上 morgan 客户端 IP 地址的日志记录放在一起：

morgan.token('client_ip', function getId(req) {
    return req.client_ip
});
const LOG_OUT = ':remote-addr - :remote-user [:date[clf]] ":method :url HTTP/:http-version" :status :res[content-length] ":referrer" ":user-agent" :client_ip'
self.app.use(morgan(LOG_OUT, {
    skip: function(req, res) { // custom logging: filter status codes
        return res.statusCode < self._options.logging.statusCode;
    }
}));

// could-flare, nginx and x-real-ip support
var getIpInfoMiddleware = function(req, res, next) {
    var client_ip;
    if (req.headers['cf-connecting-ip'] && req.headers['cf-connecting-ip'].split(', ').length) {
        var first = req.headers['cf-connecting-ip'].split(', ');
        client_ip = first[0];
    } else {
        client_ip = req.headers['x-forwarded-for'] || req.headers['x-real-ip'] || req.connection.remoteAddress || req.socket.remoteAddress || req.connection.socket.remoteAddress;
    }
    req.client_ip = client_ip;
    next();
};
self.app.use(getIpInfoMiddleware);

Answer 6

虽然来自@alessioalex 的答案有效，但Express - guide 的代理背后的表达部分所述还有另一种方法。

1. 将app.set('trust proxy', true) 添加到您的快速初始化代码中。
2. 当你想获取远程客户端的ip时，照常使用req.ip或req.ips（好像没有反向代理一样）

选读：

• 使用req.ip 或req.ips。 req.connection.remoteAddress 不适用于此解决方案。
• 如果您需要比信任 x-forwarded-for 标头中传递的所有内容更复杂的东西（例如，当您的代理未从不受信任的来源中删除预先存在的 x-forwarded-for 标头时），则可以使用更多 'trust proxy' 选项。有关详细信息，请参阅链接指南。
• 如果您的代理服务器没有填充x-forwarded-for 标头，则有两种可能性。
  1. 代理服务器不中继请求最初所在位置的信息。在这种情况下，将无法找出请求的最初来源。您需要先修改代理服务器的配置。
     • 例如，如果您使用 nginx 作为反向代理，您可能需要将 proxy_set_header X-Forwarded-For $remote_addr; 添加到您的配置中。
  2. 代理服务器以专有方式（例如，自定义 http 标头）中继有关请求最初来自何处的信息。在这种情况下，这个答案是行不通的。可能有一种自定义方式可以获取该信息，但您需要先了解该机制。

Answer 7

具有 can-flare、nginx 和 x-real-ip 支持

var user_ip;

    if(req.headers['cf-connecting-ip'] && req.headers['cf-connecting-ip'].split(', ').length) {
      let first = req.headers['cf-connecting-ip'].split(', ');
      user_ip = first[0];
    } else {
      let user_ip = req.headers['x-forwarded-for'] || req.headers['x-real-ip'] || req.connection.remoteAddress || req.socket.remoteAddress || req.connection.socket.remoteAddress;
    }

Answer 8

这只是this answer 的附加信息。

如果您使用的是nginx，您可以将proxy_set_header X-Real-IP $remote_addr; 添加到站点的位置块中。 /etc/nginx/sites-available/www.example.com 例如。这是一个示例服务器块。

server {
    listen 80;
    listen [::]:80;

    server_name example.com www.example.com;

    location / {
        proxy_set_header  X-Real-IP  $remote_addr;
        proxy_pass http://127.0.1.1:3080;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;
    }
}

重启nginx后，你就可以用req.headers['x-real-ip'] || req.connection.remoteAddress;访问你的node/express应用路由中的ip了

Answer 9

我知道这个问题已经得到解答，但这是我的工作方式。

let ip = req.connection.remoteAddress.split(`:`).pop();

Answer 10

headers 对象有你需要的一切，只需这样做：

var ip = req.headers['x-forwarded-for'].split(',')[0];

Answer 11

var ip = req.connection.remoteAddress;

ip = ip.split(':')[3];

Answer 12

1. 添加app.set('trust proxy', true)
2. 照常使用req.ip 或req.ips

Answer 13

这对我来说比其他人更有效。我的网站在 CloudFlare 后面，它似乎需要cf-connecting-ip。

req.headers['cf-connecting-ip'] || req.headers['x-forwarded-for'] || req.connection.remoteAddress

没有测试Express behind proxies，因为它没有说明这个cf-connecting-ip 标头。

Answer 14

根据Express behind proxies，req.ip已经考虑了反向代理，如果你已经正确配置了trust proxy。所以比req.connection.remoteAddress从网络层获取，不知道代理要好。

Answer 15

在nginx.conf 文件中：
proxy_set_header X-Real-IP $remote_addr;

在node.js 服务器文件中：
var ip = req.headers['x-real-ip'] || req.connection.remoteAddress;

注意表示小写标题

Answer 16

特别是对于节点，http 服务器组件的文档，在event connection 下说：

[触发] 当建立新的 TCP 流时。 [The] socket 是一个类型的对象 网络套接字。通常用户不想访问此事件。在 特别是，套接字不会发出可读事件，因为 协议解析器附加到套接字。插座也可以 通过 request.connection 访问。

所以，这意味着 request.connection 是一个套接字，根据文档确实有一个 socket.remoteAddress 属性，根据文档是：

远程 IP 地址的字符串表示形式。例如， '74.125.127.100' 或 '2001:4860:a005::68'。

在express下，request对象也是Node http请求对象的一个​​实例，所以这种方式应该还是可以的。

但是，在 Express.js 下，请求已经有两个属性：req.ip 和 req.ips

req.ip

返回远程地址，或者启用“信任代理”时 - 上游地址。

req.ips

当"trust proxy"为true时，解析“X-Forwarded-For”ip地址列表并返回一个数组，否则为空数组 回来。例如，如果值为“client, proxy1, proxy2”，您 将接收数组 ["client", "proxy1", "proxy2"] 其中 "proxy2" 是最远的下游。

值得一提的是，根据我的理解，Express req.ip 是比req.connection.remoteAddress 更好的方法，因为req.ip 包含实际的客户端 ip（前提是在 express 中启用了可信代理），而另一个可能包含代理的 IP 地址（如果有的话）。

这就是当前接受的答案建议的原因：

var ip = req.headers['x-forwarded-for'] || req.connection.remoteAddress;

req.headers['x-forwarded-for'] 将等同于 express req.ip。