如何通过CloudFront获取请求的客户端IP？

Question

根据CloudFront的文档(https://docs.aws.amazon.com/amazoncloudfront/latest/developerguide/requestandresponseBehaviorCustomOrigin.html)，客户端IP可以是x-forward-for头的前面、中间和结尾。

是Rignt吗？那我怎么才能得到真正的客户端IP呢？

Answer 1

对吗？

不完全是。

CloudFront遵循x-forward-for的正确语义。具体地说，每个处理请求的系统都将其客户端的地址追加到右侧。这意味着CloudFront请求中x-forward-for中最右边的地址始终是连接到CloudFront的机器的地址。

一般来说，从右边解析，任何你已知的，并且被信任已经正确识别了其上游客户端的地址都可以从列表中移除...但一旦遇到第一个不信任的地址，从右到左，这就是您要查找的地址，因为该地址左边的任何东西都不可信。

这意味着，如果堆栈中的组件（如应用程序负载平衡器或web服务器）也在添加x-forward-for，那么您需要说明这些组件还在值的右侧添加了哪些内容，修改CloudFront提供的内容。

例如。客户端发送：

X-Forwarded-For: a, b, c

CloudFront添加客户端的IPD:

X-Forwarded-For: a, b, c, d

ALB接收到来自CloudFront的请求，因此它添加了CloudFront出口地址e:

X-Forwarded-For: a, b, c, d, e

然后您的web服务器添加平衡器f的内部地址：

X-Forwarded-For: a, b, c, d, e, f

这将使您使用D作为客户端地址。

值A和B和C在本例中几乎没有价值，因为您不能信任它们的真实性，因为它们位于第一个不可信地址（从右起）的左侧...偶尔，他们可能是有用的，稍后，但您不能作出任何实时决策的基础上，他们。

这就是x-forwarded-for始终工作的方式。许多开发人员似乎由于缺乏理解而做出天真的假设。在你用它做任何重要的事情之前，一定要了解它。