在传统Java Web开发中，使用 HttpServletRequest.getRemoteAddr()
是获取客户端IP地址的直接方法。然而，在现代分布式架构中，应用前端通常部署了Nginx、Apache、HAProxy等反向代理或负载均衡器，这使得获取真实的客户端IP变得复杂。此时，getRemoteAddr()
返回的往往是最后一个代理服务器的IP（如127.0.0.1或内网网关IP），而非终端用户的真实地址。

核心原理：代理与HTTP头信息
当客户端请求通过代理服务器时，代理服务器在转发请求前，通常会在HTTP请求头中添加额外的信息来记录原始客户端的地址。最常用的头字段是
X-Forwarded-For。

其格式通常为：X-Forwarded-For: client_ip, proxy1_ip, proxy2_ip
即，最左侧的IP地址为最初的客户端IP，后续为途径的各级代理服务器IP。

常见代理头字段解析
除了 X-Forwarded-For，不同的代理软件可能会使用自己定义的头字段：

X-Forwarded-For：由Squid代理软件首创，已成为事实标准，被大多数反向代理（如Nginx、Apache）采用。

X-Real-IP：Nginx代理可通过配置将此头设置为客户端的真实IP。

Proxy-Client-IP / WL-Proxy-Client-IP：较老版本的Apache Httpd或WebLogic插件可能会添加此类头部。

HTTP_CLIENT_IP：一些代理服务器会使用此头部。

重要提示：这些头部均非HTTP协议标准，其存在与否、具体值完全取决于代理服务器的配置和行为，因此不可盲目依赖。

通用获取方法及参考实现
一个健壮的获取逻辑需要按优先级检查多个头部，并最终回退到 getRemoteAddr()。以下是经过整理的参考方法：

java
public static String getClientIpAddress(HttpServletRequest request) {
// 定义可能的代理头字段，按常见优先级排序
String[] headerNames = {
“X-Forwarded-For”,
“Proxy-Client-IP”,
“WL-Proxy-Client-IP”,
“HTTP_X_FORWARDED_FOR”, // 部分环境下的变种
“HTTP_CLIENT_IP”,
“X-Real-IP”
};

String ip = null;
for (String header : headerNames) {
    ip = request.getHeader(header);
    if (isValidIp(ip)) {
        break;
    }
}

// 如果所有代理头都无效，则使用连接层IP
if (!isValidIp(ip)) {
    ip = request.getRemoteAddr();
}

// 处理X-Forwarded-For中可能存在的多个IP（逗号分隔）
if (ip != null && ip.contains(",")) {
    ip = ip.split(",")[0].trim(); // 取第一个IP
}

return ip;

}

private static boolean isValidIp(String ip) {
return ip != null && ip.length() != 0 && !”unknown”.equalsIgnoreCase(ip);
}
提示：一些工具类库已内置类似功能，例如阿里的Druid连接池中的 DruidWebUtils.getRemoteAddr()
方法，但需注意它返回的可能是包含多个IP的完整字符串，需要自行解析。

关键注意事项与安全考量
非标准性与不确定性：依赖HTTP头部获取IP存在风险，因为头部可被代理服务器修改、添加或省略，甚至被恶意客户端伪造。

网络架构影响：获取逻辑的优先级需根据实际网络架构（如使用的是Nginx还是Apache）进行调整。

安全与防伪造：对于防刷票、防攻击等安全敏感场景，直接使用 request.getRemoteAddr()
获取的TCP连接层IP更为可靠，因为它（在正常网络环境下）难以被客户端伪造。虽然此IP可能是代理服务器的IP，但它代表了不可篡改的连接来源。

本地与局域网地址：获取到的IP可能是 127.0.0.1 或内网地址（如 192.168.x.x），这通常意味着请求来自服务器本身或内部网络，需在逻辑中予以识别和处理。

结论
在多层代理环境中获取客户端真实IP是一个需要结合架构知识来谨慎处理的问题。推荐的做法是：

与运维人员确认网络拓扑和代理配置。

采用上述“多头部检查+回退”的兼容性方法。

明确应用场景，在功能记录和安全验证间权衡选择使用代理头IP还是TCP连接IP。