建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
X-Forwarded-For 是一個(gè) HTTP 擴(kuò)展頭部。HTTP/1.1（RFC 2616）協(xié)議并沒(méi)有對(duì)它的定義，它最開(kāi)始是由 Squid 這個(gè)緩存代理軟件引入，用來(lái)表示 HTTP 請(qǐng)求端真實(shí) IP。如今它已經(jīng)成為事實(shí)上的標(biāo)準(zhǔn)，被各大 HTTP 代理、負(fù)載均衡等轉(zhuǎn)發(fā)服務(wù)廣泛使用，并被寫(xiě)入 RFC 7239（Forwarded HTTP Extension）標(biāo)準(zhǔn)之中。
成都創(chuàng)新互聯(lián)不只是一家網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司；我們對(duì)營(yíng)銷(xiāo)、技術(shù)、服務(wù)都有自己獨(dú)特見(jiàn)解，公司采取“創(chuàng)意+綜合+營(yíng)銷(xiāo)”一體化的方式為您提供更專(zhuān)業(yè)的服務(wù)！我們經(jīng)歷的每一步也許不一定是最完美的，但每一步都有值得深思的意義。我們珍視每一份信任，關(guān)注我們的成都做網(wǎng)站、網(wǎng)站制作質(zhì)量和服務(wù)品質(zhì)，在得到用戶(hù)滿(mǎn)意的同時(shí)，也能得到同行業(yè)的專(zhuān)業(yè)認(rèn)可，能夠?yàn)樾袠I(yè)創(chuàng)新發(fā)展助力。未來(lái)將繼續(xù)專(zhuān)注于技術(shù)創(chuàng)新，服務(wù)升級(jí)，滿(mǎn)足企業(yè)一站式營(yíng)銷(xiāo)型網(wǎng)站需求，讓再小的高端網(wǎng)站設(shè)計(jì)也能產(chǎn)生價(jià)值！
X-Forwarded-For 請(qǐng)求頭格式非常簡(jiǎn)單，就這樣：
X-Forwarded-For: client, proxy1, proxy2
可以看到，XFF 的內(nèi)容由「英文逗號(hào) + 空格」隔開(kāi)的多個(gè)部分組成，最開(kāi)始的是離服務(wù)端最遠(yuǎn)的設(shè)備 IP，然后是每一級(jí)代理設(shè)備的 IP。
如果一個(gè) HTTP 請(qǐng)求到達(dá)服務(wù)器之前，經(jīng)過(guò)了三個(gè)代理 Proxy1、Proxy2、Proxy3，IP 分別為 IP1、IP2、IP3，用戶(hù)真實(shí) IP 為 IP0，那么按照 XFF 標(biāo)準(zhǔn)，服務(wù)端最終會(huì)收到以下信息：
X-Forwarded-For: IP0, IP1, IP2
Proxy3 直連服務(wù)器，它會(huì)給 XFF 追加 IP2，表示它是在幫 Proxy2 轉(zhuǎn)發(fā)請(qǐng)求。列表中并沒(méi)有 IP3，IP3 可以在服務(wù)端通過(guò) Remote Address 字段獲得。我們知道 HTTP 連接基于 TCP 連接，HTTP 協(xié)議中沒(méi)有 IP 的概念，Remote Address 來(lái)自 TCP 連接，表示與服務(wù)端建立 TCP 連接的設(shè)備 IP，在這個(gè)例子里就是 IP3。
Remote Address 無(wú)法偽造，因?yàn)榻?TCP 連接需要三次握手，如果偽造了源 IP，無(wú)法建立 TCP 連接，更不會(huì)有后面的 HTTP 請(qǐng)求。不同語(yǔ)言獲取 Remote Address 的方式不一樣，例如 php 是 $_SERVER[“REMOTE_ADDR”]，Node.js 是 req.connection.remoteAddress，但原理都一樣。
問(wèn)題
有了上面的背景知識(shí)，開(kāi)始說(shuō)問(wèn)題。我用 Node.js 寫(xiě)了一個(gè)最簡(jiǎn)單的 Web Server 用于測(cè)試。HTTP 協(xié)議跟語(yǔ)言無(wú)關(guān)，這里用 Node.js 只是為了方便演示，換成任何其他語(yǔ)言都可以得到相同結(jié)論。另外本文用 Nginx 也是一樣的道理，如果有興趣，換成 Apache 或其他 Web Server 也一樣。
下面這段代碼會(huì)監(jiān)聽(tīng) 9009 端口，并在收到 HTTP 請(qǐng)求后，輸出一些信息：
var http = require('http');
http.createServer(function (req, res) {
res.writeHead(200, {'Content-Type': 'text/plain'});
res.write('remoteAddress: ' + req.connection.remoteAddress + '\n');
res.write('x-forwarded-for: ' + req.headers['x-forwarded-for'] + '\n');
res.write('x-real-ip: ' + req.headers['x-real-ip'] + '\n');
res.end();
}).listen(9009, '0.0.0.0');
這段代碼除了前面介紹過(guò)的 Remote Address 和 X-Forwarded-For，還有一個(gè) X-Real-IP，這又是一個(gè)自定義頭部字段。X-Real-IP 通常被 HTTP 代理用來(lái)表示與它產(chǎn)生 TCP 連接的設(shè)備 IP，這個(gè)設(shè)備可能是其他代理，也可能是真正的請(qǐng)求端。需要注意的是，X-Real-IP 目前并不屬于任何標(biāo)準(zhǔn)，代理和 Web 應(yīng)用之間可以約定用任何自定義頭來(lái)傳遞這個(gè)信息。
現(xiàn)在可以用域名 + 端口號(hào)直接訪(fǎng)問(wèn)這個(gè) Node.js 服務(wù)，再配一個(gè) Nginx 反向代理：
location / {
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $http_host;
proxy_set_header X-NginX-Proxy true;
proxy_pass http://127.0.0.1:9009/;
proxy_redirect off;
}
我的 Nginx 監(jiān)聽(tīng) 80 端口，所以不帶端口就可以訪(fǎng)問(wèn) Nginx 轉(zhuǎn)發(fā)過(guò)的服務(wù)。
測(cè)試直接訪(fǎng)問(wèn) Node 服務(wù)：
curl http://t1.imququ.com:9009/
remoteAddress: 114.248.238.236
x-forwarded-for: undefined
x-real-ip: undefined
由于我的電腦直接連接了 Node.js 服務(wù)，Remote Address 就是我的 IP。同時(shí)我并未指定額外的自定義頭，所以后兩個(gè)字段都是 undefined。
再來(lái)訪(fǎng)問(wèn) Nginx 轉(zhuǎn)發(fā)過(guò)的服務(wù)：
curl http://t1.imququ.com/
remoteAddress: 127.0.0.1
x-forwarded-for: 114.248.238.236
x-real-ip: 114.248.238.236
這一次，我的電腦是通過(guò) Nginx 訪(fǎng)問(wèn) Node.js 服務(wù)，得到的 Remote Address 實(shí)際上是 Nginx 的本地 IP。而前面 Nginx 配置中的這兩行起作用了，為請(qǐng)求額外增加了兩個(gè)自定義頭：
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
實(shí)際上，在生產(chǎn)環(huán)境中部署 Web 應(yīng)用，一般都采用上面第二種方式，有很多好處。但這就引入一個(gè)隱患：很多 Web 應(yīng)用為了獲取用戶(hù)真正的 IP，從 HTTP 請(qǐng)求頭中獲取 IP。
HTTP 請(qǐng)求頭可以隨意構(gòu)造，我們通過(guò) curl 的 -H 參數(shù)構(gòu)造 X-Forwarded-For 和 X-Real-IP，再來(lái)測(cè)試一把。
直接訪(fǎng)問(wèn) Node.js 服務(wù)：
curl http://t1.imququ.com:9009/ -H 'X-Forwarded-For: 1.1.1.1' -H 'X-Real-IP: 2.2.2.2'
remoteAddress: 114.248.238.236
x-forwarded-for: 1.1.1.1
x-real-ip: 2.2.2.2
對(duì)于 Web 應(yīng)用來(lái)說(shuō)，X-Forwarded-For 和 X-Real-IP 就是兩個(gè)普通的請(qǐng)求頭，自然就不做任何處理原樣輸出了。這說(shuō)明，對(duì)于直連部署方式，除了從 TCP 連接中得到的 Remote Address 之外，請(qǐng)求頭中攜帶的 IP 信息都不能信。
訪(fǎng)問(wèn) Nginx 轉(zhuǎn)發(fā)過(guò)的服務(wù)：
curl http://t1.imququ.com/ -H 'X-Forwarded-For: 1.1.1.1' -H 'X-Real-IP: 2.2.2.2'
remoteAddress: 127.0.0.1
x-forwarded-for: 1.1.1.1, 114.248.238.236
x-real-ip: 114.248.238.236
這一次，Nginx 會(huì)在 X-Forwarded-For 后追加我的 IP；并用我的 IP 覆蓋 X-Real-IP 請(qǐng)求頭。這說(shuō)明，有了 Nginx 的加工，X-Forwarded-For 最后一節(jié)以及 X-Real-IP 整個(gè)內(nèi)容無(wú)法構(gòu)造，可以用于獲取用戶(hù) IP。
用戶(hù) IP 往往會(huì)被使用與跟 Web 安全有關(guān)的場(chǎng)景上，例如檢查用戶(hù)登錄地區(qū)，基于 IP 做訪(fǎng)問(wèn)頻率控制等等。這種場(chǎng)景下，確保 IP 無(wú)法構(gòu)造更重要。經(jīng)過(guò)前面的測(cè)試和分析，對(duì)于直接面向用戶(hù)部署的 Web 應(yīng)用，必須使用從 TCP 連接中得到的 Remote Address；對(duì)于部署了 Nginx 這樣反向代理的 Web 應(yīng)用，在正確配置了 Set Header 行為后，可以使用 Nginx 傳過(guò)來(lái)的 X-Real-IP 或 X-Forwarded-For 最后一節(jié)（實(shí)際上它們一定等價(jià)）。
那么，Web 應(yīng)用自身如何判斷請(qǐng)求是直接過(guò)來(lái)，還是由可控的代理轉(zhuǎn)發(fā)來(lái)的呢？在代理轉(zhuǎn)發(fā)時(shí)增加額外的請(qǐng)求頭是一個(gè)辦法，但是不怎么保險(xiǎn)，因?yàn)檎?qǐng)求頭太容易構(gòu)造了。如果一定要這么用，這個(gè)自定義頭要夠長(zhǎng)夠罕見(jiàn)，還要保管好不能泄露出去。
判斷 Remote Address 是不是本地 IP 也是一種辦法，不過(guò)也不完善，因?yàn)樵?Nginx 所處服務(wù)器上訪(fǎng)問(wèn)，無(wú)論直連還是走 Nginx 代理，Remote Address 都是 127.0.0.1。這個(gè)問(wèn)題還好通常可以忽略，更麻煩的是，反向代理服務(wù)器和實(shí)際的 Web 應(yīng)用不一定部署在同一臺(tái)服務(wù)器上。所以更合理的做法是收集所有代理服務(wù)器 IP 列表，Web 應(yīng)用拿到 Remote Address 后逐一比對(duì)來(lái)判斷是以何種方式訪(fǎng)問(wèn)。
通常，為了簡(jiǎn)化邏輯，生產(chǎn)環(huán)境會(huì)封掉通過(guò)帶端口直接訪(fǎng)問(wèn) Web 應(yīng)用的形式，只允許通過(guò) Nginx 來(lái)訪(fǎng)問(wèn)。那是不是這樣就沒(méi)問(wèn)題了呢？也不見(jiàn)得。
首先，如果用戶(hù)真的是通過(guò)代理訪(fǎng)問(wèn) Nginx，X-Forwarded-For 最后一節(jié)以及 X-Real-IP 得到的是代理的 IP，安全相關(guān)的場(chǎng)景只能用這個(gè)，但有些場(chǎng)景如根據(jù) IP 顯示所在地天氣，就需要盡可能獲得用戶(hù)真實(shí) IP，這時(shí)候 X-Forwarded-For 中第一個(gè) IP 就可以排上用場(chǎng)了。這時(shí)候需要注意一個(gè)問(wèn)題，還是拿之前的例子做測(cè)試：
curl http://t1.imququ.com/ -H 'X-Forwarded-For: unknown, "1.1.1.1'
remoteAddress: 127.0.0.1
x-forwarded-for: unknown, "1.1.1.1, 114.248.238.236 x-real-ip: 114.248.238.236 X-Forwarded-For 最后一節(jié)是 Nginx 追加上去的，但之前部分都來(lái)自于 Nginx 收到的請(qǐng)求頭，這部分用戶(hù)輸入內(nèi)容完全不可信。使用時(shí)需要格外小心，符合 IP 格式才能使用，不然容易引發(fā) SQL 注入或 XSS 等安全漏洞。
結(jié)論
-
直接對(duì)外提供服務(wù)的 Web 應(yīng)用，在進(jìn)行與安全有關(guān)的操作時(shí)，只能通過(guò) Remote Address 獲取 IP，不能相信任何請(qǐng)求頭；
-
使用 Nginx 等 Web Server 進(jìn)行反向代理的 Web 應(yīng)用，在配置正確的前提下，要用 X-Forwarded-For 最后一節(jié) 或 X-Real-IP 來(lái)獲取 IP（因?yàn)?Remote Address 得到的是 Nginx 所在服務(wù)器的內(nèi)網(wǎng) IP）；同時(shí)還應(yīng)該禁止 Web 應(yīng)用直接對(duì)外提供服務(wù)；
-
在與安全無(wú)關(guān)的場(chǎng)景，例如通過(guò) IP 顯示所在地天氣，可以從 X-Forwarded-For 靠前的位置獲取 IP，但是需要校驗(yàn) IP 格式合法性；
PS：網(wǎng)上有些文章建議這樣配置 Nginx，其實(shí)并不合理：
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $remote_addr;
這樣配置之后，安全性確實(shí)提高了，但是也導(dǎo)致請(qǐng)求到達(dá) Nginx 之前的所有代理信息都被抹掉，無(wú)法為真正使用代理的用戶(hù)提供更好的服務(wù)。還是應(yīng)該弄明白這中間的原理，具體場(chǎng)景具體分析。
名稱(chēng)欄目：簡(jiǎn)單介紹一下HTTPX-Forwarded-For
文章來(lái)源：http://www.fisionsoft.com.cn/article/dpcdojc.html
