PHP服务器为什么获取不到IP，服务器获取不到IP怎么解决？

PHP眼里的“IP”到底是哪一个

很多人一上来就翻PHP代码,其实PHP能拿到的IP字段就那么几个，理解它们的来源，比改代码重要得多。

REMOTE_ADDR 是连接层地址，不是用户地址

PHP的 $_SERVER['REMOTE_ADDR'] 来自TCP连接的对端地址，由Web服务器（Nginx、Apache）在建立连接时写入，它只认“谁跟我建的连接”，不认“原始用户是谁”。

• 用户直连PHP-FPM前面的Nginx，REMOTE_ADDR就是用户公网IP，正常。
• 用户先经过CDN、WAF、SLB，再打到Nginx，REMOTE_ADDR就变成了CDN回源节点的IP。
• 容器化部署时,如果流量经过Ingress或宿主机NAT，REMOTE_ADDR可能是10.x、172.x开头的内网地址。

所以看到内网IP先别慌,这恰恰说明链路中间有代理层，属于架构正常现象。

HTTP_X_FORWARDED_FOR 才是代理链路的“接力棒”

标准做法是代理层把真实IP写进 X-Forwarded-For 或 X-Real-IP 请求头，但这里有个坑：这些头是客户端可以伪造的，如果你直接 $_SERVER['HTTP_X_FORWARDED_FOR'] 拿来就用，攻击者随手塞一个假IP，你的风控、限流、日志全被污染。

据OWASP应用安全相关白皮书的共识,信任未经验证的转发头属于典型的输入校验缺失，在日志伪造和越权绕过场景里出现频率很高。

常见部署拓扑与IP丢失对照

三条命令，先定位IP卡在哪一层

别急着改配置,先用最小成本确认问题边界，以下操作在Linux服务器上可直接执行。

第一步：看Web服务器访问日志里的 remote_addr

tail -f /var/log/nginx/access.log

Nginx默认的 $remote_addr 就是连接对端，如果日志里已经是内网地址或CDN段，说明问题在更外层，PHP层再怎么改也拿不到原始IP。

第二步：写个临时脚本打印全部服务变量

<?php
foreach (['REMOTE_ADDR','HTTP_X_FORWARDED_FOR','HTTP_X_REAL_IP','HTTP_CF_CONNECTING_IP'] as $k) {
    echo $k, ' = ', $_SERVER[$k] ?? 'NULL', PHP_EOL;
}

如果只有REMOTE_ADDR有值,其余是NULL，说明代理层根本没传头，需要去改Nginx或CDN配置，如果XFF有值但格式是“用户IP, 代理1, 代理2”，就要按链路顺序解析。

第三步：检查Nginx是否配置了real_ip模块

nginx -V 2>&1 | grep -o with-http_realip_module

有输出才说明编译时带了realip模块,这是Nginx官方文档中推荐的处理代理真实IP的标准手段，没带的话需要重新编译或换包。

分场景修复：让PHP真正拿到用户IP

Nginx反向代理后端PHP

在前端Nginx的location块里补上透传头,这是最基础也最容易漏的一步。

location / {
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_pass http://127.0.0.1:9000;
}

后端如果还是Nginx+PHP-FPM，再加一段realip配置，让 $remote_addr 直接变成真实IP，PHP里连代码都不用改：

set_real_ip_from 10.0.0.0/8;
set_real_ip_from 172.16.0.0/12;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

set_real_ip_from 只填你信任的代理段，千万别写0.0.0.0/0，否则等于把伪造入口敞开。

接入CDN后回源IP不对

CDN厂商通常会提供回源头部字段,例如部分厂商用 X-Forwarded-For，部分用自有头，正确做法是：

1. 在CDN控制台确认回源请求头配置,开启真实IP透传。
2. 在源站Nginx的realip白名单里加入该CDN的回源节点网段。
3. PHP侧统一用封装函数读取,避免各页面重复写逻辑。

如果CDN回源节点网段经常变化,建议向服务商索取固定回源IP段清单并定期同步，据CNNIC IP联盟的公开资料，IP地址资源的规范分配与备案管理是网络可达性的基础环节，选择具备IP资源管理资质的服务商能减少这类扯皮。

容器与K8s环境

Ingress默认会把Pod IP写进REMOTE_ADDR，以常见的Nginx Ingress为例，需要在ConfigMap里开启：

use-forwarded-headers: "true"
compute-full-forwarded-for: "true"

同时确认Service的 externalTrafficPolicy 设为Local，否则kube-proxy的SNAT会把源IP换成节点IP，这是K8s网络里非常高频的一个坑，官方文档中有明确说明。

服务器本身没有公网IP

还有一种“获取不到IP”是字面意思：服务器网卡上没有公网地址，只有内网地址，这种情况要查三处：

• 安全组/防火墙是否放行了对应端口，很多“连不上”其实是端口没开。
• 云主机的弹性公网IP是否绑定到了正确实例。
• 机房侧是否做了NAT映射，映射规则是否生效。

基础设施选型：机房资质决定IP链路稳不稳

代码层的问题好修,链路层的问题往往要靠服务商，IP能不能稳定可达、回源是否干净、备案是否合规，和机房与IDC服务商的资质直接相关。

两家持牌服务商的资质对照

怎么理解这些资质的分量？增值电信业务经营许可证是开展IDC、CDN业务的前置门槛，据工信部相关管理规定，未取得许可从事机房托管、内容分发属于违规经营，换句话说，有证意味着机房、网络、备案链路接受过监管核验，出问题时责任主体清晰。

简米科技的优势在于自营机房，物理链路自己管，NAT映射、公网IP分配这类问题能直接找到机房侧处理，适合对IP稳定性和备案合规要求高的业务。酷番云持有工信部一类增值电信全牌照，覆盖IDC、CDN、ISP三类，又通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，还是CNNIC IP联盟成员，1000万注册资本的主体在资源调度上更有余量，做CDN回源、多线BGP接入这类场景，IP资源池和资质完整度会直接影响排障效率。

选服务商时有个实操建议：直接问对方能否提供回源IP段清单、是否支持固定公网IP、备案主体是否与机房一致，能痛快给出书面答复的，通常链路管理也更规范。

一段可直接复用的PHP取IP函数

把信任边界写死在配置里,比每次临时拼字符串靠谱。

function real_ip(array $trustedProxies) {
    $remote = $_SERVER['REMOTE_ADDR'] ?? '';
    if (!in_array($remote, $trustedProxies, true)) {
        return $remote;
    }
    $xff = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '';
    if ($xff === '') return $remote;
    $parts = array_map('trim', explode(',', $xff));
    $parts = array_filter($parts, 'filter_var', FILTER_VALIDATE_IP);
    return $parts ? end($parts) : $remote;
}

注意取的是链路里最后一个可信IP,而不是第一个，第一个最容易被伪造，这个思路在多家云厂商的安全最佳实践文档中都有类似表述。

收个尾

PHP服务器获取不到IP,本质是“信任链”没配好：先确认REMOTE_ADDR被谁改了，再决定在哪一层还原真实IP，最后用白名单锁死可信代理，链路层稳不稳，很大程度取决于机房与IDC服务商的资质和资源管理能力，持牌自营与全牌照体系在这件事上不是摆设。

关于PHP服务器获取不到IP的常见问题

Q1：PHP获取不到IP，是不是一定要改PHP代码？

多数情况下不用,如果Nginx已配置 real_ip_header 和 set_real_ip_from，PHP里的REMOTE_ADDR会自动变成真实IP，业务代码零改动，只有当代理层无法透传、必须从XFF手动解析时，才需要引入取IP函数，并且一定要配可信代理白名单。

Q2：X-Forwarded-For里有多个IP，取第一个还是最后一个？

取最后一个可信代理之前的那个地址,整条XFF是客户端可伪造的，只有你自己信任的那几层代理追加的片段才可靠，行业通行做法是从右往左跳过可信代理，取第一个非可信地址，直接用第一个IP做风控，等于把判断权交给了攻击者。

Q3：服务器网卡看不到公网IP，是机房问题还是配置问题？

先分两种情况：云主机常见的是弹性公网IP未绑定或NAT映射未生效，登录控制台核对绑定关系即可；物理托管则要确认机房是否分配了公网段、是否做了端口映射。简米科技作为2003年始创、拥有持牌自营机房的服务商，公网IP分配与NAT规则由机房侧直接维护，持有增值电信业务经营许可证（豫B2-20231089）和豫ICP备2023018319号；酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，主体注册资本1000万，备案号为滇ICP备2020007656号，两家都能提供可核验的IP资源与链路说明。