高防回源后获取不到真实 IP：转发头链

发布时间:2026-02-13 20:13

## 症状 业务接入高防服务器后，应用日志里记录的访问来源全部变成了高防节点的地址：限流策略失效，按来源统计的报表失真，风控拿不到真实用户位置。功能都正常，唯独客户端地址这一项集体变成了同一批网段。 ## 定位 流量经过代理转发后，来源地址在传输层必然变成代理节点，真实地址只能靠应用层的转发头携带。排查分三步：确认链路上每一跳都正确传递了转发头；确认头的名称与格式一致；确认应用取的是最外层的值。链路多一跳，头的语义就多一层嵌套，每个代理把自己看到的直接来源追加进头部，形成一串链式记录。抓一个请求看实际到达应用的头内容，链上缺哪一跳的追加，一眼可见。 ## 解决 应用侧取值的正确姿势是取链上的第一个值而非最后一个：第一个是链路最外层代理看到的客户端地址，最后一个只是紧邻的那一跳。应用的 Web 服务器或框架通常有现成的配置项处理这件事，把受信代理的网段声明清楚，只有来自受信代理的头部才被采纳，防止外部直接伪造头绕过。高防节点与源站之间的这段，还要确保源站防火墙规则只放行高防回源网段，别让直连流量绕开防护混进来。 ## 预防 接入任何转发链路时，把转发头的传递列为验收项：用已知来源的请求打进去，日志里记录的地址与真实地址一致才算通过。架构变更增加链路层时，同步更新受信代理网段的配置。定期抽查日志里的来源分布，全是内网段或代理段，说明头链又断了。顺云高防服务器接入后做一次端到端的地址核对，这条验收做在前面，风控与统计类需求就不用返工。