设置 $_SERVER['HTTP_CLIENT_IP'] 的值是否为空字符串？

Question

我有一个简单的脚本来确定用户的 IP 地址：

function GetIp(){
      if (!empty($_SERVER['HTTP_CLIENT_IP']))
      //check ip from share internet
      {
        $ip=$_SERVER['HTTP_CLIENT_IP'];
      }
      elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR']))
      //to check ip is pass from proxy
      {
        $ip=$_SERVER['HTTP_X_FORWARDED_FOR'];
      }
      else
      {
        $ip=$_SERVER['REMOTE_ADDR'];
      }
      return $ip;
}

现在在网络上的某个地方我看到有人使用这个脚本：

if (isset($_SERVER['HTTP_CLIENT_IP']) && $_SERVER['HTTP_CLIENT_IP'] != '')
        $Ip = $_SERVER['HTTP_CLIENT_IP'];
    elseif (isset($_SERVER['HTTP_X_FORWARDED_FOR']) && $_SERVER['HTTP_X_FORWARDED_FOR'] != '')
        $Ip = $_SERVER['HTTP_X_FORWARDED_FOR'];
    elseif (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] != '')
        $Ip = $_SERVER['REMOTE_ADDR'];

我想知道我的实现是否已损坏..我是否需要检查 $_SERVER[' 的值HTTP_CLIENT_IP']、$_SERVER['HTTP_X_FORWARDED_FOR'] 或 $_SERVER['REMOTE_ADDR'] 为空？或者实际上没有必要这样做？

Answer 1

如果你想找出客户端 IP 地址的原因真的很重要，那就把这些都搞砸吧。

这些标头值中的任何一个都可以被随意欺骗。

REMOTE_ADDR 是唯一真正可靠的信息，因为它是由处理请求的 Web 服务器传输给您的。理论上它也可以被伪造，但这比欺骗标头值和完全不同的类要困难得多的攻击。

在反向代理背后的非常非常特定的托管环境中也有例外。在这些情况下，管理该代理的人员将能够知道您需要测试什么标头值。

Answer 2

来自 Kohanas 的 Request 类：

if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])
    AND isset($_SERVER['REMOTE_ADDR'])
    AND in_array($_SERVER['REMOTE_ADDR'], Request::$trusted_proxies))
{
    // Use the forwarded IP address, typically set when the
    // client is using a proxy server.
    // Format: "X-Forwarded-For: client1, proxy1, proxy2"
    $client_ips = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);

    Request::$client_ip = array_shift($client_ips);

    unset($client_ips);
}
elseif (isset($_SERVER['HTTP_CLIENT_IP'])
    AND isset($_SERVER['REMOTE_ADDR'])
    AND in_array($_SERVER['REMOTE_ADDR'], Request::$trusted_proxies))
{
    // Use the forwarded IP address, typically set when the
    // client is using a proxy server.
    $client_ips = explode(',', $_SERVER['HTTP_CLIENT_IP']);

    Request::$client_ip = array_shift($client_ips);

    unset($client_ips);
}
elseif (isset($_SERVER['REMOTE_ADDR']))
{
    // The remote IP address
    Request::$client_ip = $_SERVER['REMOTE_ADDR'];
}

这已经是最好的了。请注意 Request::$trusted_proxies 数组，在本例中，您的 $ip var 是 Request::$client_ip。

Answer 3

除非您明确知道您的应用程序是在反向代理后面配置的，否则请勿检查客户端 IP 的任何 HTTP_* 标头。无条件信任这些标头的值将允许用户欺骗其 IP 地址。

唯一包含可靠值的 $_SERVER 字段是 REMOTE_ADDR。

Answer 4

这两件事实际上是相同的。在您找到的脚本中，作者只是在检查数组中的元素是否非空之前检查数组中的元素是否已设置。

关于使用 empty() 函数而不是比较，请检查 http://php.ini。净/空。由于您处理的是由环境设置的变量，而不是用户输入的变量，因此您选择两个选项中的哪一个并不重要。所以你的脚本应该完全没问题