从http.Request获取客户端IP地址的正确方法

76

从中获取所有客户端IP地址的正确方法是http.Request什么？在PHP其中，我应该检查很多变量。Go上也一样吗？

我发现的一个是：

req.RemoteAddr

并且请求区分大小写吗？例如x-forwarded-for与X-Forwarded-For和相同X-FORWARDED-FOR吗？（来自req.Header.Get("X-FORWARDED-FOR")）

http  go  ip 
— 角izz
source

Answers:

84

查看http.Request，您可以找到以下成员变量：

// HTTP defines that header names are case-insensitive.
// The request parser implements this by canonicalizing the
// name, making the first character and any characters
// following a hyphen uppercase and the rest lowercase.
//
// For client requests certain headers are automatically
// added and may override values in Header.
//
// See the documentation for the Request.Write method.
Header Header

// RemoteAddr allows HTTP servers and other software to record
// the network address that sent the request, usually for
// logging. This field is not filled in by ReadRequest and
// has no defined format. The HTTP server in this package
// sets RemoteAddr to an "IP:port" address before invoking a
// handler.
// This field is ignored by the HTTP client.
RemoteAddr string

您可以RemoteAddr用来获取远程客户端的IP地址和端口（格式为“ IP：端口”），它是原始请求者或最后一个代理（例如位于服务器前面的负载平衡器）的地址。

这就是您确定的全部。

然后，您可以调查不区分大小写的标头（根据上面的文档），这意味着您的所有示例都将起作用并产生相同的结果：

req.Header.Get("X-Forwarded-For") // capitalisation
req.Header.Get("x-forwarded-for") // doesn't
req.Header.Get("X-FORWARDED-FOR") // matter

这是因为内部http.Header.Get会为您标准化密钥。（如果要直接访问标头映射，而不要通过访问标头映射，则Get需要先使用http.CanonicalHeaderKey。）

最后，"X-Forwarded-For"可能是您想了解的领域，以便获取有关客户端IP的更多信息。但是，这很大程度上取决于远程端使用的HTTP软件，因为客户端可以根据需要将任何内容放入其中。另外，请注意，此字段的预期格式是IP地址的逗号加空格分隔列表。您将需要对其进行一点解析以获取您选择的单个IP（可能是列表中的第一个IP），例如：

// Assuming format is as expected
ips := strings.Split("10.0.0.1, 10.0.0.2, 10.0.0.3", ", ")
for _, ip := range ips {
    fmt.Println(ip)
}

将产生：

10.0.0.1
10.0.0.2
10.0.0.3
— 托马斯
source
1
我阅读的文档的方式req.Header只需要这样做req.Header.Get("X-Forwarded-For")，因为解析器将其他情况规范化为其他情况。
— Lars Haugseth
2
是的，当然，我的回答是，由于标头不区分大小写，因此所有变体都可以使用。我之所以提到这些，只是因为OP要求区分大小写，但可以看到措辞可能令人困惑。将更新。
— tomasz
是的，标头区分大小写，但是您将使用http.CanonicalHeaderKey而不是尝试所有可能的大写和小写组合。
— bithavoc
您应该当心客户端的“ X-Forwarded-For”欺骗。服务的第一个外部网关可能应该剥离客户端提供的任何此类标头。
— 法尔科
21

这是一个完全有效的例子 

package main

import (  
    // Standard library packages
    "fmt"
    "strconv"
    "log"
    "net"
    "net/http"

    // Third party packages
    "github.com/julienschmidt/httprouter"
    "github.com/skratchdot/open-golang/open"
)



// https://blog.golang.org/context/userip/userip.go
func getIP(w http.ResponseWriter, req *http.Request, _ httprouter.Params){
    fmt.Fprintf(w, "<h1>static file server</h1><p><a href='./static'>folder</p></a>")

    ip, port, err := net.SplitHostPort(req.RemoteAddr)
    if err != nil {
        //return nil, fmt.Errorf("userip: %q is not IP:port", req.RemoteAddr)

        fmt.Fprintf(w, "userip: %q is not IP:port", req.RemoteAddr)
    }

    userIP := net.ParseIP(ip)
    if userIP == nil {
        //return nil, fmt.Errorf("userip: %q is not IP:port", req.RemoteAddr)
        fmt.Fprintf(w, "userip: %q is not IP:port", req.RemoteAddr)
        return
    }

    // This will only be defined when site is accessed via non-anonymous proxy
    // and takes precedence over RemoteAddr
    // Header.Get is case-insensitive
    forward := req.Header.Get("X-Forwarded-For")

    fmt.Fprintf(w, "<p>IP: %s</p>", ip)
    fmt.Fprintf(w, "<p>Port: %s</p>", port)
    fmt.Fprintf(w, "<p>Forwarded for: %s</p>", forward)
}


func main() {  
    myport := strconv.Itoa(10002);


    // Instantiate a new router
    r := httprouter.New()

    r.GET("/ip", getIP)

    // Add a handler on /test
    r.GET("/test", func(w http.ResponseWriter, r *http.Request, _ httprouter.Params) {
        // Simply write some test data for now
        fmt.Fprint(w, "Welcome!\n")
    })  


    l, err := net.Listen("tcp", "localhost:" + myport)
    if err != nil {
        log.Fatal(err)
    }
    // The browser can connect now because the listening socket is open.


    //err = open.Start("http://localhost:"+ myport + "/test")
    err = open.Start("http://localhost:"+ myport + "/ip")
    if err != nil {
         log.Println(err)
    }

    // Start the blocking server loop.
    log.Fatal(http.Serve(l, r)) 
}
— 斯蒂芬·斯蒂格（Stefan Steiger）
source
为什么不在“ X-Forwarded-For”上运行ParseIP？
2
@kristen：实际上，X-Forwarded-For（可能）是IP地址列表（代理链接）。因此，您需要先用“，”分隔。
— Stefan Steiger
10

这就是我提出IP的方式

func ReadUserIP(r *http.Request) string {
    IPAddress := r.Header.Get("X-Real-Ip")
    if IPAddress == "" {
        IPAddress = r.Header.Get("X-Forwarded-For")
    }
    if IPAddress == "" {
        IPAddress = r.RemoteAddr
    }
    return IPAddress
}

  • X-Real-Ip-获取第一个真实IP（如果请求位于多个NAT源/负载均衡器之后）

  • X-Forwarded-For-如果出于某些原因X-Real-Ip为空并且不返回响应，请从X-Forwarded-For获取

  • 远程地址-不得已（通常是不可靠的，因为这可能是最后一个IP，或者如果它是对服务器的裸http请求，即没有负载均衡器）
— 梅尔·金斯
source
4
警告：请检查对此答案的评论-stackoverflow.com/a/55790/1584308- “客户端可以将X-Forwarded-For或X-Real-IP标头设置为所需的任意值。除非您拥有可信的反向代理，否则不应使用任何这些价值。”
— hewiefreeman
3

在PHP中，我应该检查很多变量。Go上也一样吗？

这与Go（或PHP）无关。它仅取决于客户端，代理，负载均衡器或服务器发送的内容。根据您的环境获取所需的一个。

http.Request.RemoteAddr包含远程IP地址。它可能不是您的实际客户。

并且请求区分大小写吗？例如x-forwarded-for是否与X-Forwarded-For和X-FORWARDED-FOR相同？（来自req.Header.Get（“ X-FORWARDED-FOR”））

不，为什么不自己尝试？http://play.golang.org/p/YMf_UBvDsH

— 吉姆
source
1
标头总是在设置/获取之前转换为相同的MIME格式，因此req.Header.Get参数不区分大小写。来源golang.org/pkg/net/textproto/#CanonicalMIMEHeaderKey
— K3A
1

根据Mozilla MDN的说法：“ X-Forwarded-For（XFF）标头是用于识别客户端原始IP地址的事实上的标准标头。 ”
他们在X-Forwarded-For文章中发布了明确的信息。

— 胡安·拉努斯
source
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.