php 获取ip地址有哪些坑？老程序员告诉你怎么避开！

发布日期： 2025-10-01 阅读量： 作者： admin

得，今天来唠唠嗑，说说我之前搞网站时，怎么去拿访问者的IP地址。这玩意儿看着简单，但实际弄起来还是有几个小坑的。

最早，刚开始学PHP那会儿，觉得拿IP还不简单？直接用 $_SERVER['REMOTE_ADDR'] 不就完事了。试了试，在本机或者直接访问，确实能拿到自己的IP，当时还挺高兴，觉得搞定了。

发现问题

后来网站上线了，或者有时候用些特殊网络环境访问，就发现不对劲了。有时候拿到的IP根本不是访问者真实的IP，特别是有的人用了代理服务器之后，REMOTE_ADDR 取到的是那个代理服务器的IP。这下就麻烦了，我要的是用户的IP，不是中间那道墙的IP。

没办法，只能去找找资料，看看有没有别的法子。后来发现，原来服务器变量（就是那个$_SERVER数组）里头，还有几个别的玩意儿可能存着真实的IP信息。

$_SERVER['HTTP_CLIENT_IP']：据说这个也可能是客户端的IP，但好像用得不多，也不是所有服务器都支持，而且听说这玩意儿容易伪造。
$_SERVER['HTTP_X_FORWARDED_FOR']：这个就比较常见了，特别是用了代理或者CDN之后。代理服务器通常会把原始的客户端IP放在这个头信息里传给后端服务器。但是，这玩意儿也有说道，它有时候不止一个IP，可能是一串，用逗号隔开，第一个通常是用户的真实IP。更重要的是，这个头信息也是可以被伪造的！不能完全信。

看到这儿，我头都大了。合着没有一个变量是百分百靠谱的。

那咋办？总不能不拿了。后来我琢磨了一下，搞了个优先级策略：

先看 HTTP_X_FORWARDED_FOR：因为用了代理的情况比较多，我优先检查这个变量。如果它存在，我就把它拿出来。因为它可能是一串IP，比如 "用户IP, 代理1 IP, 代理2 IP"，我就得处理一下，通常是取第一个IP。还得做点基本的验证，看看是不是个合法的IP格式。
再看 HTTP_CLIENT_IP：如果上面那个HTTP_X_FORWARDED_FOR没有，或者处理完了觉得不像IP，我就看看这个HTTP_CLIENT_IP。虽然不常用且能伪造，但万一有？也做个基本验证。
才用 REMOTE_ADDR：如果上面两个都没拿到靠谱的IP，那就只能用这个REMOTE_ADDR了。虽然它可能是代理IP，但总比没有强，至少知道请求是从哪台服务器过来的。

整个流程大概就是：

检查 HTTP_X_FORWARDED_FOR -> 如果有且有效，取第一个IP -> 如果没有或无效，检查 HTTP_CLIENT_IP -> 如果有且有效，取它 -> 如果还没有或无效，取 REMOTE_ADDR。

这样一套组合拳下来，拿到的IP地址准确率就高多了。虽然不能100%保证绝对是用户的真实IP（毕竟伪造这事儿防不胜防），但在大部分情况下够用了。

对了，有时候会看到有人提 gethostbyname() 这个函数。要注意，这个函数跟咱们说的获取访客IP不是一回事。它是用来查一个域名（比如 *）对应的服务器IP地址的，跟你谁在访问你的网站没关系。别搞混了。

用PHP拿IP地址这事，不能只认一个死理，得多考虑几种情况，特别是代理。写代码的时候稍微多判断几步，按优先级去取值，这样得到的结果才相对靠谱点。虽然有点啰嗦，但总比拿到一堆没用的代理IP强多了，实践下来效果确实好不少。