X-Forwarded-For 能自己填写，网关怎样只信任指定代理

X-Forwarded-For是一个可由请求方填写的头，不能直接把最左边的地址当成用户来源。可信代理链的关键在于TCP连接对端是否可信，以及从右向左能确认到哪一跳。本文提供IPv4、IPv6和伪造头向量，验收一个明确的来源解析参考策略。

先看直连地址，再决定是否读头

第一项直连对端是198.51.100.8，不在受信网段里，即使头写成203.0.113.7，也仍记录直连地址。若先取头再判断，攻击者只要自行填写就能改变来源记录。附件所有公网形状地址都是文档示例，不代表真实用户或真实访问日志。

第二项对端10.0.0.2可信，头链为203.0.113.7、10.0.0.1。从右向左经过可信的10.0.0.1，最终停在203.0.113.7。第三项在中间放入不受信的198.51.100.9，应停在那里，不能继续相信它左边转述的地址。能确认到第一个不受信节点，已经是该策略的证据边界。

明确空值和坏格式的处理

IPv6受信网段单独解析，不能用字符串前缀判断网段归属。附件IPv6向量最终得到2001:db8:1::5。坏格式头bad则回退直连地址，不会尝试从任意文本里提取一个看起来像IP的片段。生产也可以选择拒绝坏格式，但要作为显式策略写入测试，而不是由不同解析库碰巧决定。

多行同名头、带端口地址和空项需要在HTTP层统一规范后再交给解析器。本参考输入只覆盖逗号地址链，不声称实现了所有Forwarded字段语法。若代理部署变化，受信网段也必须同步调整；把整个内网或任意地址都设为可信，会让原本的边界失去作用。

来源记录不能取代租户鉴权

Nginx真实IP模块提供受信来源与递归解析相关指令，是否编译该模块和实际完整配置都应核对。本文运行器使用Python的IP地址库回放向量，没有运行Nginx。通过结果表明参考算法按照声明的信任链取值，不证明云负载均衡或现有代理已经正确清理外来头。

来源IP适合日志关联、粗粒度限速和排查，但共享出口、移动网络和代理都会让多个用户共用地址，不能据此替代虚拟Key身份。现场验收应同时记录直连对端、规范化头链、最终判定与策略版本，敏感情况下做最小留存。把“不受信直连不能改来源”和“可信多跳停在第一不受信节点”作为两条必测条件，比只检查头里有没有某个预期IP更可靠。

配套样本与复核入口

下载本篇独立合成输入和实验运行器。上述文件放在同一目录后运行 python run_lab.py C019。完整运行需要全部四十四份输入及相关配置。结果中的method区分离线计算、静态参考检查与回环实测，不能把前两者当成真实网关已通过。

资料核对日期：2026-10-24。官方依据1；官方依据2；官方依据3。

与本站相关基础教程的区别：旧文要求限制网络访问；本文验证代理信任链的取址算法与伪造头负例，不讲通用防火墙配置，不按IP做租户身份鉴别。