Cloudflare 获取客户端 IP 的正确姿势是什么

[tmkook]

CF 设置:
安全等级 低
DDOS 设置 阻止 中
WAF 威胁分数小于 1 and 验证客户端证书 允许
速率限制 / 阻止 10 秒钟 100 次请求
网络 Pseudo IPv4 覆盖

Nginx 设置：
set_real_ip_from 0.0.0.0/0;
proxy_set_header Host $host;
real_ip_header CF-Connecting-IP;


在客户端引用了个外部获取 IP 的链接和服务器获取的 IP 记录日志做对比，
好多 IP 都不一致。去查 IP 所在地显示的是保留地址。

例如：

```
183.***.78.238 183.***.78.238 正确
39.***.59.121 245.***.112.100 不正确
14.***.210.68 243.120.78.159 不正确
```

[lslqtz]

```
if (!empty($_SERVER['HTTP_CF_CONNECTING_IP'])) {
$clientIP = $_SERVER['HTTP_CF_CONNECTING_IP'];
} else if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
// Amazon CloudFront
#$clientIP = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0];
// Cloudflare
/*
$clientIPList = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']); // 临时使用, 其它代理 IP 不应纳入列表.
$clientIP = $clientIPList[((count($clientIPList) > 1) ? 1 : 0)];
*/
$clientIP = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0];
} else if (!empty($_SERVER['HTTP_CLIENT_IP'])) {
$clientIP = explode(',', $_SERVER['HTTP_CLIENT_IP'])[0];
} else {
$clientIP = $_SERVER['REMOTE_ADDR'];
}
```
这边自己在程序里直接用的...

[lslqtz]

你这个应该是因为 Pseudo IPv4 吧.
https://developers.cloudflare.com/support/network/understanding-and-configuring-cloudflares-ipv6-support/
看看这个.

[tmkook]

@lslqtz 谢谢，取消 pseudo 然后关闭 ipv6 是吗？我试试

[yumusb]

不要设置 0.0.0.0/0