Java獲取客戶端真實IP地址的兩種方法

http://dpn525.iteye.com/blog/1132318

在JSP裏，獲取客戶端的IP地址的方法是：request.getRemoteAddr（），這種方法在大部分狀況下都是有效的。可是在經過了Apache，Squid等反向代理軟件就不能獲取到客戶端的真實IP地址了。

    若是使用了反向代理軟件，將http://192.168.1.110：2046/ 的URL反向代理爲 http://www.javapeixun.com.cn / 的URL時，用request.getRemoteAddr（）方法獲取的IP地址是：127.0.0.1　或　192.168.1.110，而並非客戶端的真實IP。

    通過代理之後，因爲在客戶端和服務之間增長了中間層，所以服務器沒法直接拿到客戶端的IP，服務器端應用也沒法直接經過轉發請求的地址返回給客戶端。可是在轉發請求的HTTP頭信息中，增長了X－FORWARDED－FOR信息。用以跟蹤原有的客戶端IP地址和原來客戶端請求的服務器地址。當咱們訪問http://www.javapeixun.com.cn/index.jsp/ 時，其實並非咱們瀏覽器真正訪問到了服務器上的index.jsp文件，而是先由代理服務器去訪問http://192.168.1.110：2046/index.jsp ，代理服務器再將訪問到的結果返回給咱們的瀏覽器，由於是代理服務器去訪問index.jsp的，因此index.jsp中經過request.getRemoteAddr（）的方法獲取的IP其實是代理服務器的地址，並非客戶端的IP地址。

    因而可得出得到客戶端真實IP地址的方法一：

 public String getRemortIP(HttpServletRequest request) {
  if (request.getHeader("x-forwarded-for") == null) {
   return request.getRemoteAddr();
  }
  return request.getHeader("x-forwarded-for");
 }

 但是當我訪問http://www.5a520.cn /index.jsp/ 時，返回的IP地址始終是unknown，也並非如上所示的127.0.0.1　或　192.168.1.110了，而我訪問http://192.168.1.110：2046/index.jsp 時，則能返回客戶端的真實IP地址，寫了個方法去驗證。緣由出在了Squid上。squid.conf 的配製文件　forwarded_for 項默認是爲on，若是 forwarded_for 設成了 off 　則：X-Forwarded-For： unknown

    因而可得出得到客戶端真實IP地址的方法二：

public String getIpAddr(HttpServletRequest request) {
       String ip = request.getHeader("x-forwarded-for");
       if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
           ip = request.getHeader("Proxy-Client-IP");
       }
       if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
           ip = request.getHeader("WL-Proxy-Client-IP");
       }
       if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
           ip = request.getRemoteAddr();
       }
       return ip;
   }

 但是，若是經過了多級反向代理的話，X-Forwarded-For的值並不止一個，而是一串Ｉｐ值，究竟哪一個纔是真正的用戶端的真實IP呢？

    答案是取X-Forwarded-For中第一個非unknown的有效IP字符串。

    如：X-Forwarded-For：192.168.1.110， 192.168.1.120， 192.168.1.130， 192.168.1.100用戶真實IP爲： 192.168.1.110

 

-------------------

http://www.oschina.net/question/819166_124476

通常的話，在 Servlet 中會先從 HTTP 請求頭中獲取，這是由於 Servlet 容器並不必定是真正暴露在 Internet 上的，而是經過 Web 服務器，甚至是負載均衡設備以後的，一個客戶端的請求過來，通過了好幾回的反向代理，若是直接使用 HttpServletRequest 的 getRemoteAddr() 獲取的將是位於 Servlet 上一層代理服務器的 IP 地址，所以這種方式在生產環境中是不可靠的。

通常經過反向代理服務器的客戶端請求，代理服務器都會將客戶端源 IP 地址附加在原始的 HTTP 請求頭上，非標準協議的代理源 IP 地址請求頭有 X-Forwarded-For、X-Real-Ip 等，能夠直接依據優先級從這些 HTTP 頭獲取數據，若是實如今獲取不到的話，再從 HttpServletRequest 的 getRemoteAddr() 方法中獲取。

參考代碼以下：

/**
 * <p>
 * Web 服務器反向代理中用於存放客戶端原始 IP 地址的 Http header 名字，
 * 若新增其餘的須要增長或者修改其中的值。
 * </p>
 */
private static final String[] PROXY_REMOTE_IP_ADDRESS = { "X-Forwarded-For", "X-Real-IP" };
/**
 * <p>
 * 獲取請求的客戶端的 IP 地址。若應用服務器前端配有反向代理的 Web 服務器，
 * 須要在 Web 服務器中將客戶端原始請求的 IP 地址加入到 HTTP header 中。
 * 詳見 {@link #PROXY_REMOTE_IP_ADDRESS}
 * </p>
 */
public static String getRemoteIp( HttpServletRequest request ) {
    for ( int i = 0 ; i < PROXY_REMOTE_IP_ADDRESS.length ; i++ ) {
        String ip = request.getHeader( PROXY_REMOTE_IP_ADDRESS[i] );
        if ( ip != null && ip.trim().length > 0 ) {
            return getRemoteIpFromForward( ip.trim() );
        }
    }
    return request.getRemoteHost();
}
 
/**
 * <p>
 * 從 HTTP Header 中截取客戶端鏈接 IP 地址。若是通過屢次反向代理，
 * 在請求頭中得到的是以「,&lt;SP&gt;」分隔 IP 地址鏈，第一段爲客戶端 IP 地址。
 * </p>
 *
 * @param xforwardIp 從 HTTP 請求頭中獲取轉發過來的 IP 地址鏈
 * @return 客戶端源 IP 地址
 */
private static String getRemoteIpFromForward( String xforwardIp ) {
    int commaOffset = xforwardIp.indexOf( ',' );
    if ( commaOffset < 0 ) {
        return xforwardIp;
    }
    return xforwardIp.substring( 0 , commaOffset );
}