2

我想为某些地理区域的用户实施某些安全性和其他功能。我知道“HTTP_X_FORWARDED_FOR”和“HTTP_CLIENT_IP”可以被伪造，但是有没有任何实际的正当理由可以使它们甚至出现在标头中，或者与REMOTE_ADDR不同？谁能举个例子？

如果我只允许那些具有匹配 IP 或空转发 IP 值的服务提供服务，我是否会将任何不试图绕过 IP 位置安全的合法客户排除在外？

4

1 回答 1

2

非匿名代理可能会添加这些标头。例如，美国在线几年前曾经这样做过。

但是，除非您控制系统添加它们，否则在任何情况下都不能信任它们。在这种情况下，您需要确保仅在请求实际上是这些系统之一的情况下使用标头。并且这些系统必须始终添加标头和/或确保在客户端已经发送标头的情况下正确替换标头。REMOTE_ADDR

于 2012-12-27T02:34:14.050 回答