ฉันรู้ว่ามีตัวแปร$ _SERVERส่วนหัวที่พร้อมใช้งานสำหรับการดึงข้อมูลที่อยู่ IP ฉันสงสัยว่ามีมติทั่วไปว่าจะดึงข้อมูลที่อยู่ IP จริงของผู้ใช้ได้อย่างถูกต้องที่สุด (รู้ดีว่าไม่มีวิธีใดสมบูรณ์แบบ) โดยใช้ตัวแปรดังกล่าว?
ฉันใช้เวลาพยายามหาวิธีการแก้ปัญหาเชิงลึกและเกิดขึ้นกับรหัสต่อไปนี้ขึ้นอยู่กับแหล่งที่มาจำนวนมาก ฉันจะรักมันถ้าใครสักคนได้โปรดกระตุ้นรูในคำตอบหรือทำให้แสงสว่างบางอย่างอาจแม่นยำยิ่งขึ้น
การแก้ไขรวมถึงการเพิ่มประสิทธิภาพจาก @Alix
/**
* Retrieves the best guess of the client's actual IP address.
* Takes into account numerous HTTP proxy headers due to variations
* in how different ISPs handle IP addresses in headers between hops.
*/
public function get_ip_address() {
// Check for shared internet/ISP IP
if (!empty($_SERVER['HTTP_CLIENT_IP']) && $this->validate_ip($_SERVER['HTTP_CLIENT_IP']))
return $_SERVER['HTTP_CLIENT_IP'];
// Check for IPs passing through proxies
if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
// Check if multiple IP addresses exist in var
$iplist = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
foreach ($iplist as $ip) {
if ($this->validate_ip($ip))
return $ip;
}
}
}
if (!empty($_SERVER['HTTP_X_FORWARDED']) && $this->validate_ip($_SERVER['HTTP_X_FORWARDED']))
return $_SERVER['HTTP_X_FORWARDED'];
if (!empty($_SERVER['HTTP_X_CLUSTER_CLIENT_IP']) && $this->validate_ip($_SERVER['HTTP_X_CLUSTER_CLIENT_IP']))
return $_SERVER['HTTP_X_CLUSTER_CLIENT_IP'];
if (!empty($_SERVER['HTTP_FORWARDED_FOR']) && $this->validate_ip($_SERVER['HTTP_FORWARDED_FOR']))
return $_SERVER['HTTP_FORWARDED_FOR'];
if (!empty($_SERVER['HTTP_FORWARDED']) && $this->validate_ip($_SERVER['HTTP_FORWARDED']))
return $_SERVER['HTTP_FORWARDED'];
// Return unreliable IP address since all else failed
return $_SERVER['REMOTE_ADDR'];
}
/**
* Ensures an IP address is both a valid IP address and does not fall within
* a private network range.
*
* @access public
* @param string $ip
*/
public function validate_ip($ip) {
if (filter_var($ip, FILTER_VALIDATE_IP,
FILTER_FLAG_IPV4 |
FILTER_FLAG_IPV6 |
FILTER_FLAG_NO_PRIV_RANGE |
FILTER_FLAG_NO_RES_RANGE) === false)
return false;
self::$ip = $ip;
return true;
}คำเตือน (อัปเดต)
REMOTE_ADDRยังคงแสดงถึงแหล่งที่มาที่น่าเชื่อถือที่สุดของที่อยู่ IP $_SERVERตัวแปรอื่น ๆ ที่กล่าวถึงในที่นี้สามารถปลอมแปลงโดยไคลเอนต์ระยะไกลได้อย่างง่ายดาย วัตถุประสงค์ของการแก้ปัญหานี้คือการพยายามที่จะกำหนดที่อยู่ IP ของลูกค้านั่งหลังพร็อกซี่ สำหรับวัตถุประสงค์ทั่วไปของคุณคุณอาจลองใช้วิธีนี้ร่วมกับที่อยู่ IP ที่ส่งคืนจาก$_SERVER['REMOTE_ADDR']และจัดเก็บทั้งคู่โดยตรง
สำหรับ 99.9% ของผู้ใช้โซลูชันนี้จะตอบสนองความต้องการของคุณอย่างสมบูรณ์แบบ มันจะไม่ปกป้องคุณจากผู้ใช้ที่เป็นอันตราย 0.1% ที่ต้องการละเมิดระบบของคุณโดยการฉีดส่วนหัวคำขอของพวกเขาเอง หากอาศัยที่อยู่ IP สำหรับภารกิจที่มีความสำคัญควรหันหน้าไปทางREMOTE_ADDRและไม่ใส่ใจกับผู้ที่อยู่เบื้องหลังพรอกซี