需求是用戶在登錄時，密碼輸錯了5次以上要將這個ip禁用，所以如題,我需要在登錄接口代碼中獲得這次請求的原始ip地址。禁用ip的邏輯已經(jīng)寫好了，目前痛點是獲取ip地址，也正是這塊代碼讓我被領(lǐng)導(dǎo)叼了。

既然項目一般都是走nginx和網(wǎng)關(guān)代理，那肯定得百度了，于是百度的代碼如下:

    /**
     * 獲取ip地址
     *
     * @param request
     * @return
     */
    public String getIpAddr(HttpServletRequest request) {
        String ip = request.getHeader("X-Real-IP");
        if (ip != null && !"".equals(ip) && !"unknown".equalsIgnoreCase(ip)) {
            return ip;
        }
        ip = request.getHeader("X-Forwarded-For");
        if (ip != null && !"".equals(ip) && !"unknown".equalsIgnoreCase(ip)) {
            int index = ip.indexOf(',');
            if (index != -1) {
                return ip.substring(0, index);
            } else {
                return ip;
            }
        } else {
            return request.getRemoteAddr();
        }
    }

然后我模擬2個用戶測了一下(測試結(jié)果為化名):

• 公司電腦本地啟服務(wù)，注冊到公司開發(fā)環(huán)境的nacos上，通過網(wǎng)關(guān)調(diào)用此登錄接口
• 用另一臺電腦連公司vpn，其余步驟如上。
• request.getHeader("X-Real-IP") 獲取的ip地址始終固定是:115.1.2.3
• request.getHeader("X-Forwarded-For")獲取的結(jié)果固定是: 115.1.2.3,10.x.x.x
  • 結(jié)果是一個字符串，第一個值與X-Real-IP值一樣。
  • 第二個值一直在動態(tài)變化
• request.getRemoteAddr()獲取的結(jié)果固定是: 192.168.1.10

所以我很疑惑，首先看了下公司日志過濾器那塊代碼也正是用的上面的方法，完全一樣。那么說明是一樣的。

這方法正確嗎？

大概看了下這方法邏輯就是先獲取請求體的realIp，獲取不到才去獲取forward啥的ip。

那我這邊為什么始終能獲取到realIp且始終固定1個值，我已經(jīng)模擬了2個用戶來登錄了。

那不是起不到不同ip的效果了嗎。

所以我懷疑是不是這個115.1.2.3是網(wǎng)關(guān)還是哪臺服務(wù)器的ip。

為什么X-Forwarded-For的第一個值與realIp一樣且第二個值一直變。且第二個值代表什么ip，為什么一直在變。此刻我懷疑是不是就是我2臺電腦的無線網(wǎng)動態(tài)變化的ip，那么這么看我得取這第二個值了。

帶著這些疑惑，真的很菜的我繼續(xù)百度+咨詢公司運維+最終詢問領(lǐng)導(dǎo)。

得到了以下結(jié)論:

首先明確request.getRemoteAddr()這塊不能要。一看就是內(nèi)網(wǎng)ip，不然直接鎖死了。

在jax的告誡"去掉這塊代碼，讓其為空則不禁用，否則內(nèi)網(wǎng)鎖定ip，且很可能是用戶微服務(wù)集群2臺的ip，那就都不能登錄了"下，我刪掉了這塊代碼。

且最終咨詢了運維之后發(fā)現(xiàn)這個固定的192.168.1.10正是開發(fā)環(huán)境的K8S地址!那確實不能返回！

realIp固定的115.1.2.3問了運維大哥后知道了是真實ip地址！不是內(nèi)網(wǎng)地址！且是公司的網(wǎng)關(guān)地址。

那我明白了，我連公司vpn及我公司電腦其實都是連的公司wifi，所以最終請求發(fā)出去都是走的公司網(wǎng)關(guān)，此網(wǎng)關(guān)不是web項目的網(wǎng)關(guān)！

所以最終地址都一致。那這么看滿足需求，1個人連的1個wifi，不能連續(xù)輸錯密碼5次否則ip禁用，用其他方式連wifi也一樣。

“X-Forwarded-For”第一個值與其realIo一樣應(yīng)該是我只有1個代理。這邊也確實只有Nginx代理了。

所以“X-Forwarded-For”第二個值開始則是代理服務(wù)器的地址。

咨詢了jax和讓運維看了后發(fā)現(xiàn)是k8s的一些容器的地址。

只是這個地址為什么一直變jax也很奇怪。我測了下是每次都在變。

所以原來方法是對的，只去獲取forward的第一個值！

“X-Forwarded-For”的字面意思是“為誰而轉(zhuǎn)發(fā)”，形式上和“Via”差不多，也是每經(jīng)過一個代理節(jié)點就會在字段里追加一個信息。但“Via”追加的是代理主機名（或者域名），而“X-Forwarded-For”追加的是請求方的 IP 地址。所以，在字段里最左邊的 IP 地址就是客戶端的地址。

“X-Real-IP”是另一種獲取客戶端真實 IP 的手段，它的作用很簡單，就是記錄客戶端 IP 地址，沒有中間的代理信息，相當(dāng)于是“X-Forwarded-For”的簡化版。如果客戶端和源服務(wù)器之間只有一個代理，那么這兩個字段的值就是相同的。

所以最終改造后的代碼為:

    /**
     * 獲取真實ip地址,不返回內(nèi)網(wǎng)地址
     *
     * @param request
     * @return
     */
    public String getIpAddr(HttpServletRequest request) {
        //目前則是網(wǎng)關(guān)ip
        String ip = request.getHeader("X-Real-IP");
        if (ip != null && !"".equals(ip) && !"unknown".equalsIgnoreCase(ip)) {
            return ip;
        }
        ip = request.getHeader("X-Forwarded-For");
        if (ip != null && !"".equals(ip) && !"unknown".equalsIgnoreCase(ip)) {
            int index = ip.indexOf(',');
            if (index != -1) {
            	//只獲取第一個值
                return ip.substring(0, index);
            } else {
                return ip;
            }
        } else {
        	//取不到真實ip則返回空，不能返回內(nèi)網(wǎng)地址。
            return "";
        }
    }

總結(jié)

到此這篇關(guān)于springboot獲取真實ip地址的文章就介紹到這了,更多相關(guān)springboot獲取真實ip內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評論