REMOTE_ADDR 是否有可能为空？

发布于 2024-10-04 14:19:08 字数 290 浏览 2 评论 0原文

据我所知，网络服务器（Apache/Nginx）根据请求用户代理声明的位置提供（$_SERVER['REMOTE_ADDR']）。所以我知道他们可能在撒谎，但是这个值有可能是空白吗？网络接口或网络服务器是否会接受没有正确形成的 IP 的请求？

http://php.net/manual/en/reserved.variables.server.php

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

俏︾媚 2024-10-11 14:19:08

理论上是可能的，因为这取决于 http 服务器或至少是相应的 PHP SAPI。

在实践中，除了 CLI SAPI 之外，我还没有遇到过这种情况。

编辑：对于 Apache，这似乎总是被设置的，因为 ap_add_common_vars 总是将其添加到最终由 Apache 模块 PHP SAPI 读取的表中（免责声明：我对 Apache 内部结构的了解非常有限）。

如果在 CGI 环境中使用 PHP，RFC 3875 中的规范似乎保证了该变量的存在：

4.1.8.  REMOTE_ADDR

   The REMOTE_ADDR variable MUST be set to the network address of the
   client sending the request to the server.

It is theoretically possible, as the matter is up to the http server or at least the corresponding PHP SAPI.

In practice, I haven't encountered such a situation, except with the CLI SAPI.

EDIT: For Apache, it would seem this is always set, as ap_add_common_vars always adds it to the table that ends up being read by the Apache module PHP SAPI (disclaimer: I have very limited knowledge of Apache internals).

If using PHP in a CGI environment, the specification in RFC 3875 seems to guarantee the existence of this variable:

4.1.8.  REMOTE_ADDR

   The REMOTE_ADDR variable MUST be set to the network address of the
   client sending the request to the server.

回复收藏 0 原文

世界如花海般美丽 2024-10-11 14:19:08

是的。目前，我在 Apache-behind-Nginx 日志中看到“未知”值，日志中看起来像是正常的请求/响应序列。我相信这是可能的，因为 mod_extract_forwarded 正在根据 X-Forwarded-For 标头中的数据修改重置 REMOTE_ADDR 的请求。因此，原始 REMOTE_ADDR 值可能有效，但作为通过反向代理和 Apache 的一部分，REMOTE_ADDR 在到达应用程序时显得无效。

如果您已经安装了 Perl 的 libwww-perl，您可以像这样测试这种情况（将 example.com 更改为您自己的域或应用程序）：（

HEAD -H 'X-Forwarded-For: ' -sSe http://www.example.com/
HEAD -H 'X-Forwarded-For: HIMOM' -sSe http://www.example.com/
HEAD -H 'X-Forwarded-For: <iframe src=http://example.com>' -sSe http://www.example.com/

您还可以使用任何其他允许您手工制作的工具带有自定义请求标头的 HTTP 请求。）

现在，检查您的访问日志以查看它们记录的值，并检查您的应用程序以了解它们如何处理错误输入。 `

Yes. I currently see values of "unknown" in my logs of Apache-behind-Nginx, for what looks like a normal request/response sequence in the logs. I believe this is possible because mod_extract_forwarded is modifying the request to reset REMOTE_ADDR based on data in the X-Forwarded-For header. So, the original REMOTE_ADDR value was likely valid, but as part of passing through our reverse proxy and Apache, REMOTE_ADDR appears invalid by the time it arrives at the application.

If you have installed Perl's libwww-perl, you can test this situation like this (changing example.com to be your own domain or application):

HEAD -H 'X-Forwarded-For: ' -sSe http://www.example.com/
HEAD -H 'X-Forwarded-For: HIMOM' -sSe http://www.example.com/
HEAD -H 'X-Forwarded-For: <iframe src=http://example.com>' -sSe http://www.example.com/

( You can also use any other tool that allows you to handcraft HTTP requests with custom request headers. )

Now, go check your access logs to see what values they logged, and check your applications to see how they handled the bad input. `

回复收藏 0 原文