PHP怎么获得用户IP地址，PHP如何获取真实IP地址

2026年2月22日 06:55 • 云服务器 • 阅读 4

在PHP开发中，获取用户真实IP地址并非简单地读取一个环境变量即可，而是一个需要综合考量网络架构、安全性和协议兼容性的系统工程。最专业且稳健的方法是：优先检查代理服务器传递的头部信息（如HTTP_X_FORWARDED_FOR），并结合REMOTE_ADDR进行多重验证，同时严格过滤非法IP格式和内网IP，以防止IP伪造攻击。这种分层获取与验证的策略，能够确保在CDN、负载均衡等复杂网络环境下依然精准定位用户真实位置。

理解环境变量与代理机制

要写出完美的获取IP代码，首先必须深入理解PHP中的 $_SERVER 数组以及HTTP协议在网络传输中的运作方式，很多初级开发者直接使用 $_SERVER['REMOTE_ADDR']，这在直连模式下是有效的,但在现代Web架构中却往往失效。

REMOTE_ADDR 代表的是与当前Web服务器直接建立TCP连接的客户端IP，如果你的网站前端部署了Nginx反向代理、阿里云CDN或Cloudflare等服务，那么Web服务器看到的“客户端”实际上是这些代理服务器，而不是真实的用户浏览器,用户的真实IP通常被代理服务器存放在特定的HTTP头部中。

最常见的头部是 HTTP_X_FORWARDED_FOR（XFF），当请求经过多个代理时，该头部会包含一串IP地址，形式为“客户端IP, 代理1IP, 代理2IP”。最左端的IP通常是原始客户端IP，但这并不绝对，因为该头部是可以被伪造的。 HTTP_CLIENT_IP 也是一种较少见的头部，部分特定代理会使用它，一个健壮的获取逻辑必须按照优先级顺序检查这些变量,而不能依赖单一来源。

构建健壮的IP获取函数

基于上述原理，我们构建一个核心函数，该函数不应只是简单的 if-else 判断，而应包含对IP字符串的清洗和格式校验,以下是一个经过实战检验的专业实现方案：

function get_real_ip() {
    $ip = '';
    // 检查是否通过代理连接，优先检查 X-Forwarded-For
    if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
        $ips = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
        // X-Forwarded-For 可能包含多个IP，取第一个非内网IP
        foreach ($ips as $potential_ip) {
            $potential_ip = trim($potential_ip);
            if (is_valid_public_ip($potential_ip)) {
                $ip = $potential_ip;
                break;
            }
        }
    }
    // X-Forwarded-For 没有找到有效公网IP，检查 Client-IP
    if (empty($ip) && !empty($_SERVER['HTTP_CLIENT_IP'])) {
        if (is_valid_public_ip($_SERVER['HTTP_CLIENT_IP'])) {
            $ip = $_SERVER['HTTP_CLIENT_IP'];
        }
    }
    // 最后回退到 REMOTE_ADDR
    if (empty($ip)) {
        $ip = $_SERVER['REMOTE_ADDR'];
    }
    return $ip;
}
// 辅助函数：验证是否为合法的公网IPv4或IPv6
function is_valid_public_ip($ip) {
    // 使用 filter_var 验证IP格式
    if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE) !== false) {
        return true;
    }
    return false;
}

这段代码的核心价值在于： 它不仅尝试获取IP，还通过 is_valid_public_ip 函数过滤掉了内网IP（如192.168.x.x）和保留地址，这是防止XFF头部欺骗的关键步骤，攻击者可能会伪造XFF头部填入内网IP，试图探测服务器内网结构,直接过滤非公网IP能有效规避这一风险。

安全验证与防欺骗策略

在处理用户IP时，安全性必须放在首位。永远不要无条件信任 HTTP_X_FORWARDED_FOR 中的数据。 因为这个头部是客户端发送的，恶意用户可以轻易修改它，攻击者可以将 X-Forwarded-For 设置为 0.0.1，如果后端代码直接将其视为真实IP并用于权限判断,可能会导致严重的逻辑漏洞。

专业的解决方案是建立“信任链”，通常情况下，REMOTE_ADDR 是不可伪造的（因为它代表TCP连接的源头），我们可以先判断 REMOTE_ADDR 是否是我们已知的、受信任的CDN或负载均衡节点IP，如果是，那么我们才去解析 HTTP_X_FORWARDED_FOR；REMOTE_ADDR 是一个未知的直接访问者，那么我们应当忽略 HTTP_X_FORWARDED_FOR，直接使用 REMOTE_ADDR。

对于获取到的IP，必须进行严格的格式校验，PHP的 filter_var 函数配合 FILTER_VALIDATE_IP 标志是最佳选择，它不仅能验证IPv4和IPv6的格式正确性，还能通过 FILTER_FLAG_IPV6 等标志区分协议版本。在存储到数据库之前，确保IP地址已经被清洗过，去除多余的空格或非法字符，这是数据规范化的基本要求。

酷番云实战经验：高并发下的IP捕获

在酷番云的高性能云服务器产品线中，我们曾协助一家电商客户解决过“订单归属地错误”的问题，该客户使用了多层的CDN加速架构，导致后端PHP日志中记录的全是CDN节点的IP,无法进行精准的地理风控。

结合酷番云的云原生特性，我们给出的解决方案不仅包含上述的PHP代码优化，还在Nginx配置层面进行了标准化处理，我们在Nginx的 location 配置中设置了 set_real_ip_from 指令，明确指定了CDN节点的IP段，并使用 real_ip_header 指令声明读取 X-Forwarded-For。

经验案例小编总结： 当PHP应用部署在酷番云的负载均衡后端时，单纯依赖PHP层面的获取可能不够高效，我们建议在反向代理层就将用户的真实IP写入自定义的HTTP头部（HTTP_X_REAL_IP），PHP代码直接读取这个经过清洗的头部，这种“代理层清洗，应用层直接读取”的模式，在每秒数千次并发的高流量场景下，能显著减少PHP正则匹配的开销，提升整体响应速度，这不仅是代码技巧,更是系统架构优化的体现。

IPv6兼容性与未来展望

随着IPv4资源的枯竭，越来越多的网络运营商开始分配IPv6地址给用户。一个专业的IP获取函数必须同时支持IPv6格式。 上述提到的 filter_var 函数天然支持IPv6验证，但在处理逻辑上需要注意，IPv6地址通常较长，且可能包含简写形式。

在数据库设计层面，如果使用MySQL存储IP地址，建议使用 VARCHAR(45) 而非传统的 VARCHAR(15)，因为IPv6的最大长度可达45字符，在进行IP范围比对（如判断IP是否属于某个地区）时，PHP的 inet_pton 函数可以将IP转换为二进制格式存储，这能极大提高查询效率。对于追求极致性能的系统，将IP地址转换为整数（IPv4）或二进制（IPv6）存储是必经之路。