如果利用了反向代理软件，将http://192.168.1.110:2046/的URL反向代理为http://www.abc.com/的URL时，用request.getRemoteAddr()方法获取的IP地址是：127.0.0.1或192.168.1.110，而并不是客户真个真实IP。
经由代理往后，由于在客户端和做事之间增加了中间层，因此做事器无法直接拿到客户真个IP，做事器端运用也无法直接通过转发要求的地址返回给客户端。但是在转发要求的HTTP头信息中，增加了X-FORWARDED-FOR信息。用以跟踪原有的客户端IP地址和原来客户端要求的做事器地址。
当我们访问http://www.abc.com/index.jsp/时，实在并不是我们浏览器真正访问到了做事器上的index.jsp文件，而是先由代理做事器去访问http://192.168.1.110：2046/index.jsp，代理做事器再将访问到的结果返回给我们的浏览器，由于是代理做事器去访问index.jsp的，以是index.jsp中通过request.getRemoteAddr()的方法获取的IP实际上是代理做事器的地址，并不是客户真个IP地址。
外界流传的JAVA/PHP做事器端获取客户端IP都是这么取的：
伪代码：
1）ip = request.getHeader(\"大众X-FORWARDED-FOR \"大众)
2）如果该值为空或数组长度为0或即是\"大众unknown\"大众，那么：
ip = request.getHeader(\"大众Proxy-Client-IP\公众)
3）如果该值为空或数组长度为0或即是\"大众unknown\"大众，那么：
ip = request.getHeader(\"大众WL-Proxy-Client-IP\公众)
4）如果该值为空或数组长度为0或即是\"大众unknown\"大众，那么：
ip = request.getHeader(\"大众HTTPCLIENTIP\"大众)
5）如果该值为空或数组长度为0或即是\公众unknown\公众，那么：
ip = request.getHeader(\公众X-Real-IP\"大众)
6）如果该值为空或数组长度为0或即是\"大众unknown\"大众，那么：
ip = request.getRemoteAddr ()
先说说这些要求头的意思
X-Forwarded-For这是一个 Squid 开拓的字段，只有在通过了HTTP代理或者负载均衡做事器时才会添加该项。
格式为X-Forwarded-For:client1,proxy1,proxy2，一样平常情形下，第一个ip为客户端真实ip，后面的为经由的代理做事器ip。现在大部分的代理都会加上这个要求头。
Proxy-Client-IP/WL- Proxy-Client-IP这个一样平常是经由apache http做事器的要求才会有，用apache http做代理时一样平常会加上Proxy-Client-IP要求头，而WL-Proxy-Client-IP是他的weblogic插件加上的头。
HTTPCLIENTIP有些代理做事器会加上此要求头。
X-Real-IP nginx代理一样平常会加上此要求头。下面是一个参考获取客户端IP地址的方法：
public static String getIpAddress(HttpServletRequest request) { String ip = request.getHeader(\"大众x-forwarded-for\公众); if (ip == null || ip.length() == 0 || \公众unknown\"大众.equalsIgnoreCase(ip)) { ip = request.getHeader(\公众Proxy-Client-IP\"大众); } if (ip == null || ip.length() == 0 || \"大众unknown\公众.equalsIgnoreCase(ip)) { ip = request.getHeader(\公众WL-Proxy-Client-IP\"大众); } if (ip == null || ip.length() == 0 || \"大众unknown\"大众.equalsIgnoreCase(ip)) { ip = request.getRemoteAddr(); } if (ip.contains(\"大众,\"大众)) { return ip.split(\"大众,\"大众)[0]; } else { return ip; }}如果利用的是Druid连接池，可以参考利用：com.alibaba.druid.util.DruidWebUtils#getRemoteAddr方法，但这个是经由多级代理的IP地址，须要自己处理下获取第一个。
有几点要把稳
这些要求头都不是http协议里的标准要求头，也便是说这个是各个代理做事器自己规定的表示客户端地址的要求头。如果哪天有一个代理做事器软件用oooo-client-ip这个要求头代表客户端要求，那上面的代码就弗成了。这些要求头不是代理做事器一定会带上的，网络上的很多匿名代理就没有这些要求头，以是获取到的客户端ip不一定是真实的客户端ip。代理做事器一样平常都可以自定义要求头设置。纵然要求经由的代理都会按自己的规范附上代理要求头，上面的代码也不能确保得到的一定是客户端ip。不同的网络架构，判断要求头的顺序是不一样的。最主要的一点，要求头都是可以假造的。如果一些对客户端校验较严格的运用（比如投票）要获取客户端ip，该当直策应用ip=request.getRemoteAddr()，虽然获取到的可能是代理的ip而不是客户真个ip，但这个获取到的ip基本上是不可能假造的，也就杜绝了刷票的可能。(有剖析说arp欺骗+syn有可能假造此ip，如果真的可以，这是所有基于TCP协议都存在的漏洞)，这个ip是tcp连接里的ip。参考 http://blog.csdn.net/sgx425021234/article/details/19043459 http://blog.csdn.net/fengwind1/article/details/51992528
