如何在PHP中正确获取访客的真实IP地址

你在学习文章相关的知识吗？本文《如何在PHP中正确获取访客的真实IP地址 》，主要介绍的内容就涉及到，如果你想提升自己的开发能力，就不要错过这篇文章，大家要知道编程理论基础和实战操作都是不可或缺的哦！

本文详解为何通过外部API（如ident.me）无法获取用户真实IP，以及如何安全、可靠地使用$_SERVER['REMOTE_ADDR']等PHP内置变量获取客户端IP，并说明代理环境下的注意事项。

本文详解为何通过外部API（如ident.me）无法获取用户真实IP，以及如何安全、可靠地使用$_SERVER['REMOTE_ADDR']等PHP内置变量获取客户端IP，并说明代理环境下的注意事项。

在Web开发中，准确识别访客的客户端IP地址是实现访问控制、地域分析、日志记录和安全防护的基础。但许多开发者初次尝试时会误用外部服务（例如 https://ident.me/）来获取IP，结果返回的是服务器自身的共享主机IP（如 50.87.141.159），而非真实访客IP——这是因为该请求由你的服务器主动发起，ident.me看到的是你的服务器出口IP，而非用户浏览器发出的原始请求IP。

正确做法是直接从PHP的超全局数组 $_SERVER 中提取连接层面的客户端地址：

<?php
$ip = $_SERVER['REMOTE_ADDR'];
echo "访客IP：{$ip}";
?>

✅ $_SERVER['REMOTE_ADDR'] 是最可靠、最直接的方式，它由Web服务器（如Apache/Nginx）在建立TCP连接时自动填充，代表与服务器直接通信的客户端IP（在无代理、无CDN的典型场景下即为真实用户IP）。

⚠️ 但在生产环境中需注意以下常见情况：

• 使用反向代理或CDN（如Cloudflare、阿里云WAF）时：REMOTE_ADDR 将显示代理服务器IP。此时应检查 HTTP_X_FORWARDED_FOR 或 HTTP_X_REAL_IP 等头部字段（需确保代理可信并已配置透传）。例如：

  <?php
  function getClientIP() {
      // 优先信任经过配置的可信代理头（需配合Nginx/Apache设置）
      if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
          $ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
          // 取第一个非私有IP（通常为原始客户端IP）
          foreach ($ips as $ip) {
              if (filter_var($ip, FILTER_VALIDATE_IP) && !filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE)) {
                  return $ip;
              }
          }
      }
      return $_SERVER['REMOTE_ADDR'] ?? '0.0.0.0';
  }
  
  echo "解析到的客户端IP：" . getClientIP();
  ?>

• ❌ 切勿无条件信任 HTTP_X_FORWARDED_FOR：该字段可被客户端伪造，仅在你完全掌控上游代理（如Nginx明确设置了 proxy_set_header X-Forwarded-For $remote_addr;）时才可安全使用。

• ? 建议补充IP校验：

  if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4 | FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
      // 合法公网IPv4
  }

总结：file_get_contents('https://ident.me/') 是服务端发起的HTTP请求，永远返回服务器自身出口IP；而 $_SERVER['REMOTE_ADDR'] 是协议层原生数据，零延迟、零额外请求、高可靠性。在标准LAMP/LEMP架构下，应首选此方式；若部署于CDN后，需结合可信代理头做增强处理，并始终对输入IP进行合法性与安全性校验。

今天关于《如何在PHP中正确获取访客的真实IP地址 》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！