java中如何获取客户端ip

通过请求头获取真实IP地址的方法

通常情况下，客户端的IP地址可以通过HttpServletRequest对象的getRemoteAddr()方法获取。但当应用服务器部署在代理服务器或负载均衡器之后时，这个方法获得的可能是代理服务器的IP。要获取用户的真实IP，可以检查请求头中的“X-Forwarded-For”、“Proxy-Client-IP”、“WL-Proxy-Client-IP”、“HTTP_CLIENT_IP”、“HTTP_X_FORWARDED_FOR”等字段。通过依次判断这些请求头并去除未知或者空值，可以拿到更准确的用户真实IP地址。

Java示例代码获取客户端IP

以下示例代码展示了如何通过HttpServletRequest获取客户端IP：

public String getClientIp(HttpServletRequest request) {
String ip = request.getHeader("X-Forwarded-For");
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("Proxy-Client-IP");
}
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("WL-Proxy-Client-IP");
}
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("HTTP_CLIENT_IP");
}
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("HTTP_X_FORWARDED_FOR");
}
if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getRemoteAddr();
}
if (ip != null && ip.contains(",")) {
ip = ip.split(",")[0].trim();
}
return ip;
}

这样可以获得较为准确的客户端IP。

解析IP地址时的安全注意事项

请求头中的IP地址字段可能被客户端伪造，特别是“X-Forwarded-For”这样的字段，如果没有可靠的代理链验证，恶意用户可能通过篡改头信息隐藏真实IP或制造攻击。建议仅在可信代理服务器之上读取这些头部，并结合服务器网络环境做IP过滤。如果无法保证代理可信，最好使用getRemoteAddr()获得最直接的连接IP。同时要避免将客户端提供的IP直接信任用于安全鉴权或访问控制，必要时应结合其他安全措施。