NGINX NGINX Trac 3rd Party Modules Security Advisories CHANGES OpenResty ngx_lua Tengine 在线学习资源 NGINX 开发从入门到精通 NGINX Modules ngx_echo
这是一个创建于 4181 天前的主题，其中的信息可能已经有所发展或是发生改变。
 | 1 aru 2014-07-14 10:10:27 +08:00 用户恶意伪造X-Forwarded-For 如何破？ |
| 4 aru 2014-07-14 10:20:45 +08:00 对，X-Forwarded-For header 不能完全信任。 如果是自建CDN可以通过信任IP列表来解决。使用第三方的，需要通过其他方式来获取真正的IP（如直接到服务器的ajax请求？）。 |
 | 7 gamexg 2014-07-14 10:29:56 +08:00 攻击者可以轻松的自己加个 X-Forwarded-For 头伪造源地址了。 |
 | 8 eslizn 2014-07-14 11:37:22 +08:00 X-Forwarded-For不可以由第一层转发机强行覆盖吗? |
 | 9 itsjoke 2014-07-14 11:38:35 +08:00 apache和IIS之流的是用什么方法来实现呢 求解惑 |
 | 10 qq529633582 2014-07-14 11:51:02 +08:00 为什么要强调是IE浏览器呢 |
 | 11 a2z 2014-07-14 11:54:52 +08:00  1 Cloudflare用的是自己的特殊header，并且在cdn入口服务器会被强行覆盖。 |
 | 12 tywtyw2002 2014-07-14 12:52:19 +08:00 via iPhone 不是xreal 用作cdn吗 x forwarding 精彩伪造 |
 | 13 mckelvin 2014-07-14 20:58:01 +08:00 via Android 惊讶地发现Wikipedia上X-Forwarded-For糟糕的中文翻译是我翻的！用户自己可能有主动代理，服务器又有反向代理。如果假设用户主动代理比例很少，想到一种防御策略是让第一层反向代理(文中的360)丢掉XFF头，传给之后的服务器时XFF头里填第一层获取到的用户的REMOTE_ADDR。 |
Select Language