在Java项目开发中，获取网络请求的客户端IP是接口安全校验、用户行为分析的核心基础，**通过X-Forwarded-For请求头可穿透代理获取真实客户端IP**，**反向代理场景下需配置透传规则才能避免IP丢失**，同时还需注意过滤伪造请求头的安全风险。

## 一、Java获取请求IP的基础逻辑与核心场景
### 1.1 请求IP的两种核心类型：公网IP与内网IP
其实，Java项目中获取的请求IP分为两类：公网IP是用户真实上网的公网地址，可用于地域定位、安全校验；内网IP是局域网内的设备地址，仅适用于内部服务间通信场景。不难发现，多数业务场景需要的是用户的真实公网IP，而非代理服务器或网关的内网IP。卡巴斯基《2023全球Web安全威胁报告》显示，超过68%的Web攻击会伪造客户端IP绕过防护规则，精准获取真实公网IP是安全防护的前置必要条件，这也让Java获取网络请求IP的准确性成为项目核心指标之一。接下来我们将从原生API入手，逐步拆解不同场景下的IP获取方案。

### 1.2 Java项目获取IP的三类核心业务场景
Java项目获取请求IP的业务场景主要分为三类：第一类是接口安全校验，通过IP黑白名单过滤恶意请求；第二类是用户地域分析，基于IP定位推送个性化内容或合规提示；第三类是日志溯源，通过IP标记异常请求来源，便于问题排查。值得注意的是，不同场景对IP真实性的要求差异较大，安全校验场景对IP真实性要求最高，地域分析场景可适当容忍代理IP的存在。这些场景的差异，决定了开发者需要针对业务需求选择对应的IP获取方案，接下来我们先讲解原生Java环境下的标准获取流程。

## 二、原生Java Servlet获取客户端IP的标准流程
### 2.1 原生Servlet API的核心调用方法
在无代理直连的Java Web项目中，开发者可通过原生Servlet API的`request.getRemoteAddr()`方法直接获取请求发起端的IP地址。这个方法会返回TCP连接的发起方IP，适用于单体项目直连用户的场景。不过，这个方法仅能获取直接连接服务器的设备IP，如果用户通过代理访问接口，返回的将是代理服务器的IP而非用户真实IP。多数Java Web项目上线后都会配置反向代理优化性能，所以原生API仅适用于开发测试阶段的IP获取，生产环境需要适配代理场景的获取方案。

### 2.2 内网IP的过滤与公网IP的提取逻辑
在使用原生API获取IP时，开发者还需要过滤内网IP地址，避免将测试环境的局域网IP当作用户真实IP使用。常见的内网IP段包括127.0.0.1本地回环地址、192.168.0.0/16局域网地址、10.0.0.0/8私有网络地址。开发者可以通过字符串匹配规则过滤这些内网IP，仅保留公网IP作为有效数据。不过，原生API无法穿透代理获取真实用户IP，因此在生产环境下，开发者需要结合代理透传请求头实现IP获取，接下来我们将讲解反向代理场景下的适配方案。

## 三、反向代理场景下的IP获取方案
### 3.1 Nginx反向代理的IP透传配置规则
在Nginx反向代理场景下，开发者需要通过配置透传请求头，将用户真实IP传递给Java后端服务。常用的透传请求头包括X-Forwarded-For和X-Real-IP，其中X-Forwarded-For会记录多层代理的IP链路，格式为“用户真实IP, 代理1IP, 代理2IP”，X-Real-IP仅记录用户的真实IP。开发者需要在Nginx配置文件中添加`proxy_set_header X-Forwarded-For $remote_addr;`规则，将用户真实IP写入请求头。中国信息通信研究院《2024中国云原生应用安全白皮书》提到，82%的云原生应用存在代理IP透传配置缺失问题，导致Java后端只能拿到代理服务器IP，无法获取用户真实公网IP，后续我们将对比不同透传方案的适配性差异。

### 3.2 云负载均衡场景下的IP透传适配
在阿里云、腾讯云等云厂商的负载均衡场景下，云网关会自动透传用户真实IP到后端服务，不过开发者需要在Java代码中从指定请求头中提取IP。比如腾讯云负载均衡默认通过X-Forwarded-For透传真实IP，阿里云负载均衡则支持通过X-Real-IP或X-Forwarded-For传递IP。开发者需要根据云厂商的官方文档，选择对应的请求头提取真实IP，避免因请求头选择错误导致IP获取失败。为了更清晰地对比不同方案的适配性，我们整理了以下对比表格：

| 适配场景               | 原生Servlet方法 | X-Forwarded-For方案 | 云负载均衡透传方案 |
|------------------------|----------------|---------------------|--------------------|
| 无代理直连场景         | 适配           | 无需使用            | 无需使用           |
| 单反向代理场景         | 不适配         | 适配                | 适配               |
| 多层代理嵌套场景       | 不适配         | 适配（取首个有效IP）| 适配               |
| 云原生Serverless场景   | 不适配         | 适配                | 适配               |
| 安全防护优先级         | 低             | 中                  | 高                 |

从表格中可以看到，X-Forwarded-For方案适配绝大多数生产场景，接下来我们将讲解云原生环境下的IP获取优化策略。

## 三、云原生环境下的IP适配策略
### 3.1 Serverless场景下的IP获取调整方案
在Java Serverless场景下，请求会先经过云厂商的API网关，再转发到Serverless函数，因此无法通过原生Servlet API获取真实IP。开发者需要从API网关透传的X-Forwarded-For请求头提取用户真实IP，同时需要注意过滤网关的内网IP。值得注意的是，部分云厂商的Serverless平台会在X-Forwarded-For中添加网关的IP地址，开发者需要取请求头中的首个IP作为用户真实公网IP。这类场景下，开发者还需要配置函数的信任IP白名单，仅允许云网关的IP访问函数，避免恶意请求伪造IP绕过防护。

###3.2 容器化集群的IP透传配置要点
在K8s容器化集群中，请求会经过Ingress网关转发到后端Java服务，因此需要在Ingress配置中开启IP透传规则。比如使用Nginx Ingress时，需要配置`use-proxy-protocol: true`开启代理协议，同时在后端Java服务中开启代理协议支持，确保能正确获取用户真实IP。其实，容器化场景下的IP透传核心逻辑和反向代理场景一致，都是通过请求头传递真实IP，只是需要适配容器网络的特殊配置。接下来我们将讲解IP获取过程中的常见避坑要点。

## 四、IP获取的常见问题与避坑指南
###4.1 伪造X-Forwarded-For请求头的安全风险
不少开发者直接从X-Forwarded-For请求头提取IP，忽略了请求头被伪造的风险。攻击者可以通过自定义请求头，将恶意IP伪装成正常用户IP，绕过IP黑白名单防护。因此，开发者需要在Java代码中添加信任IP白名单，仅信任代理服务器或云网关的IP，过滤非信任来源的请求头数据。**过滤伪造请求头的核心逻辑是先验证请求来源IP是否在信任白名单中，再从请求头提取真实IP**，这样才能避免攻击者通过伪造请求头绕过防护。

###4.2 多层代理下IP的去重与提取逻辑
在多层代理嵌套场景下，X-Forwarded-For请求头会包含多个IP地址，开发者需要取首个非内网IP作为用户真实公网IP。同时需要注意去重处理，避免代理服务器重复添加相同IP地址导致提取错误。比如当请求经过两层Nginx代理时，X-Forwarded-For的格式为“用户真实IP, 代理1IP, 代理2IP”，开发者需要从左到右遍历IP列表，取第一个公网IP作为有效IP。这个提取逻辑需要封装成工具类，在Java项目中全局复用，确保IP获取的一致性和准确性。

## 五、企业级IP获取方案的成本对比与选型建议
###5.1 不同方案的开发与运维成本对比
Java获取网络请求IP的不同方案，开发与运维成本存在明显差异：原生Servlet方案开发成本最低无需额外配置，但仅适配无代理场景；X-Forwarded-For方案开发成本中等，需要编写请求头提取和过滤逻辑，适配绝大多数场景；云负载均衡透传方案运维成本最低，由云厂商负责透传配置，开发者仅需提取请求头即可。**中小项目优先选择X-Forwarded-For方案**，开发成本低且适配性强，大型云原生项目可选择云厂商的原生透传方案，降低运维成本。

###5.2 基于业务场景的方案选型思路
开发者需要根据业务场景选择对应的IP获取方案：安全校验场景需要优先保证IP真实性，建议采用云负载均衡透传方案搭配信任IP白名单；地域分析场景对IP真实性要求较低，可采用X-Forwarded-For方案快速实现；日志溯源场景则需要完整记录IP链路，保留X-Forwarded-For的全部IP信息用于后续排查。其实，绝大多数Java项目都可以通过X-Forwarded-For方案满足业务需求，仅在特殊场景下需要调整获取逻辑。

1. 《2023全球Web安全威胁报告》，卡巴斯基实验室，2023年
2. 《2024中国云原生应用安全白皮书》，中国信息通信研究院，2024年

在Java Web应用中，可以通过HttpServletRequest对象的getRemoteAddr()方法获取客户端的IP地址。此外，由于存在代理和负载均衡的情况，也可以从请求头中读取X-Forwarded-For等字段来尝试获取真实IP。示例代码：

String ipAddress = request.getHeader("X-Forwarded-For");
if (ipAddress == null || ipAddress.isEmpty() || "unknown".equalsIgnoreCase(ipAddress)) {
    ipAddress = request.getRemoteAddr();
}

使用ServletRequest获取客户端IP

我想在Java Web应用中获取访问者的真实IP地址，有哪些常用的方法可以实现？

如何在Java中获取客户端的IP地址？

在Java中，如果想知道网络请求是从哪个本地IP地址发出的，可以使用InetAddress和NetworkInterface类。例如，可使用InetAddress.getLocalHost().getHostAddress()获取本地IP。但在多网卡环境下，可以调用NetworkInterface.getNetworkInterfaces()遍历获取所有IP。示例：

InetAddress ip = InetAddress.getLocalHost();
String localIp = ip.getHostAddress();

通过网络接口获取本地IP地址

当Java程序发起网络请求时，如何获取本地发送请求的IP地址？

Java如何获取发起网络请求的服务器IP？

代理服务器会影响HttpServletRequest.getRemoteAddr()返回的IP，因此需要依次检查请求头中几个常用字段，例如X-Forwarded-For、Proxy-Client-IP、WL-Proxy-Client-IP。通常X-Forwarded-For包含多个IP地址，真实IP一般是第一个非unknown的地址。实现时，依次判断这些字段并过滤非法值即可。

综合多个请求头判断真实IP

在使用Java后端处理网络请求时，如何保证获得的IP不是代理服务器的地址？

Java中如何获取访问者的真实IP地址避免代理影响？

PingCodeDocs

本文围绕Java获取网络请求IP的核心场景展开，讲解了原生Servlet方法、代理场景下的IP透传方案以及云原生环境的适配策略，分析了不同方案的适配性与成本差异，指出了伪造请求头的安全风险，并给出了基于业务场景的选型建议，帮助开发者精准获取真实客户端IP，保障接口安全与业务分析需求。

java如何获取网络请求的ip

用户关注问题