获取客户端IP地址的Java方法

在Web应用部署于Nginx、CDN或SLB等反向代理之后，Java中直接调用`request.getRemoteAddr()`往往只能获取到代理服务器的内网IP（如127.0.0.1或192.168.x.x），而无法拿到真实客户端IP——这是因为该方法仅读取TCP连接发起方地址，而非原始请求源头；要准确识别用户真实IP，必须安全解析代理透传的`X-Forwarded-For`或`X-Real-IP`等HTTP头，同时严格校验IP合法性、过滤伪造值，并仅信任来自已知可信代理的请求，否则极易引发日志失真、风控失效甚至安全漏洞；本文深入剖析了常见陷阱、Spring Boot适配要点及端到端验证方法，帮你打通从代理配置、代码实现到线上排查的完整信任链。

Java中getRemoteAddr()为什么总是返回127.0.0.1或内网IP

因为应用部署在Nginx、SLB或CDN后面时，真实客户端IP被代理覆盖了。getRemoteAddr()只读取TCP连接发起方的IP——也就是上一跳代理的地址，不是浏览器源头IP。

常见错误现象：request.getRemoteAddr()返回127.0.0.1、10.x.x.x、172.16.x.x或192.168.x.x；线上日志里所有请求IP都一样。

• 必须依赖代理主动透传的HTTP头，最常用的是X-Forwarded-For
• 但该头可被客户端伪造，不能直接信任，需结合X-Real-IP或白名单校验
• 如果代理没配proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;，这个头根本不会存在

如何安全地从X-Forwarded-For提取真实IP

不能直接取request.getHeader("X-Forwarded-For")的整个字符串——它可能是逗号分隔的IP链（如"203.0.113.195, 198.51.100.100, 203.0.113.6"），最左边是原始客户端，但可能被污染。

实操建议：

• 优先检查X-Real-IP头（部分代理如Nginx默认只设这个，更可信）
• 若不存在，再解析X-Forwarded-For：用split(",")[0].trim()取第一个IP
• 必须验证IP格式合法性（防止注入空格、换行、非IPv4/IPv6内容），推荐用InetAddress.getByName(ip).isAnyLocalAddress()粗筛
• 关键：只对已知可信代理IP（如Nginx所在机器IP）发来的请求才信任X-Forwarded-For，否则忽略

Spring Boot里封装IP获取工具类要注意什么

很多人写个静态方法直接return request.getHeader("X-Forwarded-For").split(",")[0]，上线后被刷出一堆127.0.0.1或::1，甚至触发空指针。

正确做法：

• 始终判空：if (header == null || header.trim().isEmpty())，再处理
• 避免硬编码代理IP列表，应通过配置项（如server.forward-headers-strategy=framework）或@Value("${trusted-proxies:127.0.0.1}")注入
• Spring Boot 2.6+ 默认禁用X-Forwarded-For自动解析，需显式配置server.forward-headers-strategy=native或使用ForwardedHeaderFilter
• 别忘了过滤掉unknown、localhost、127.0.0.1等无效值，它们常出现在恶意请求头里

为什么本地调试时X-Forwarded-For总为空

因为开发环境通常直连Tomcat，没经过Nginx等反向代理，自然不会带这个头。强行模拟测试容易漏掉边界情况。

解决方式：

• 启动应用时加JVM参数：-Dserver.tomcat.remote-ip-header=x-forwarded-for -Dserver.tomcat.protocol-header=x-forwarded-proto
• 或在application.yml里配：server.forward-headers-strategy: native（仅限2.6+）
• 更可靠的是写个测试用的curl：curl -H "X-Forwarded-For: 203.0.113.195" http://localhost:8080/api
• 注意：IDE里Debug时，getHeader()返回null不等于“没传”，可能是请求根本没走Servlet容器（比如静态资源被Spring直接拦截）

真实场景里，IP识别失效往往不是代码写错，而是代理层和应用层的信任链断了——比如运维改了Nginx配置但没通知开发，或者CDN开了全站代理却没透传头。每次上线前，用curl -v看响应头是否含X-Forwarded-For，比看Java日志更快定位问题。

好了，本文到此结束，带大家了解了《获取客户端IP地址的Java方法》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！