宝塔反向代理获取不到真实IP解决方法

本文深入解析了宝塔面板中反向代理环境下无法获取用户真实IP的根本原因与完整解决方案，指出问题核心在于Nginx的real_ip机制必须由set_real_ip_from、real_ip_header和real_ip_recursive三个指令严格协同配置，且必须置于server块顶部；同时强调CDN未开启IP透传、fastcgi_param设置错误或IP段配置不当（如误用0.0.0.0/0）等常见陷阱，并提供可落地的调试方法（如ipdebug.php）帮助开发者精准识别请求头、验证配置有效性，真正实现从CDN到PHP应用的全链路真实IP透传。

为什么加了 set_real_ip_from 还是拿不到真实IP

根本原因不是没加，而是加得不完整或位置不对。Nginx 的 real_ip 机制依赖三个指令协同生效：set_real_ip_from、real_ip_header、real_ip_recursive，缺一不可，且必须放在 server { 块最顶部（任何 location 之前）。宝塔里常有人把它们塞进 location / { 里，结果完全不触发。

常见错误现象包括：$_SERVER['REMOTE_ADDR'] 仍是 CDN 节点 IP 或内网 IP；日志里 $remote_addr 没变；nginx -t 测试通过但实际无效。

• set_real_ip_from 必须精确填写你信任的代理 IP 段（如 Cloudflare、腾讯云 CDN、又拍云等公布的回源段），不能写 0.0.0.0/0 图省事——这等于放弃安全校验
• real_ip_header 要和 CDN 实际发送的头一致：多数用 X-Forwarded-For，Cloudflare 默认用 CF-Connecting-IP，部分厂商只发 X-Real-IP
• real_ip_recursive on 在多级代理（比如「用户 → CDN → Nginx → PHP-FPM」）时必须开启，否则只取最左一个 IP，可能仍是上一级代理 IP

怎么确认 CDN 到底发了哪个头

别猜，直接看请求原始头。在站点根目录放一个临时调试页：ipdebug.php，内容为：

<?php
var_dump(
  $_SERVER['HTTP_X_FORWARDED_FOR'] ?? 'MISSING',
  $_SERVER['HTTP_X_REAL_IP'] ?? 'MISSING',
  $_SERVER['HTTP_CF_CONNECTING_IP'] ?? 'MISSING',
  $_SERVER['REMOTE_ADDR']
);

访问这个页面，观察输出。如果某一项显示真实 IP（比如 "1.2.3.4"），就说明 CDN 正确传递了该头；如果全是空或显示 CDN 节点 IP，说明 CDN 配置没开透传，或你填错了 real_ip_header。

• Cloudflare 用户优先检查 HTTP_CF_CONNECTING_IP，它比 X-Forwarded-For 更可靠（不会被伪造拼接）
• 阿里云 CDN、腾讯云 CDN 默认只加 X-Real-IP，不是 X-Forwarded-For，填错就白配
• 有些 CDN（如部分自建反代）可能只传 X-Forwarded-For 且带多个 IP，此时 real_ip_recursive on 才能跳过中间节点取到最左真实 IP

PHP 层为什么还是读不到 $_SERVER['REMOTE_ADDR']

因为 Nginx 改的是内部变量 $remote_addr，但 PHP 能否拿到，取决于 FastCGI 参数有没有把它透传过去。宝塔默认配置里通常有这一行：

fastcgi_param REMOTE_ADDR $remote_addr;

但如果手动改过配置、用了第三方模板、或删过 fastcgi_param 区块，这行很可能丢失或被写成 fastcgi_param REMOTE_ADDR $http_x_forwarded_for; —— 后者极危险，会把伪造头直接当真实 IP。

• 打开站点配置文件，搜索 fastcgi_param REMOTE_ADDR，确保它指向 $remote_addr，不是 $http_x_forwarded_for 或其他变量
• 如果找不到这行，手动加在 location ~ \.php$ { 块内、include fastcgi.conf; 之后（避免被覆盖）
• 改完必须「重载 Nginx」，不是「保存」就行；且要确认 PHP-FPM 没缓存旧环境变量（可重启 PHP 服务验证）

CDN IP 段怎么找、要不要自动更新

Cloudflare、阿里云、腾讯云等都会定期更新回源 IP 段，硬编码写死迟早失效。比如 Cloudflare 官方 IP 列表每月可能新增/删减子网，写死一段半年后大概率漏掉新节点。

• Cloudflare：从 https://www.cloudflare.com/ips-v4 和 /ips-v6 动态获取，建议用脚本定期拉取并生成 set_real_ip_from 规则（宝塔有插件支持自动同步）
• 腾讯云 CDN：查文档「回源 IP 段」章节，注意区分「全站加速」和「静态加速」的 IP 不同
• 阿里云 CDN：控制台「域名管理 → 源站信息」里有「回源 IP 段」按钮，点开复制即可
• 自建反向代理（如 Nginx 反代另一台服务器）：只需写 set_real_ip_from 192.168.1.100; 这类具体 IP，不用掩码

最易忽略的一点：即使所有配置都对，如果 CDN 服务商在控制台没开启「传递客户端真实 IP」开关（很多 CDN 默认关闭），那 Nginx 根本收不到任何相关 header——先去 CDN 后台翻一遍设置，比调 Nginx 配置更优先。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《宝塔反向代理获取不到真实IP解决方法》文章吧，也可关注golang学习网公众号了解相关技术文章。