从服务器 JSP [安全] 获取客户端 IP

Question

我想知道使用 jsp 方法 request.getRemoteAddr(); 的安全问题。

我想过滤一些客户端 IP（我不能使用防火墙 :-()。

我想知道攻击者可以通过这种方式更改HTTP请求的ip源？

或者客户端 ip 是从第 3 层构建的？

我想检查此方法对伪造 HTTP 请求的安全性（类似于基于第 3 层 IP 的 ip 欺骗）。

谢谢大家，

安德烈亚

Answer 1

HTTP 请求的“客户端”IP 地址实际上是最后一个 HTTP 代理的 IP。客户端无法欺骗它，但如果客户端使用代理（很多都这样做），那么 IP 地址对识别请求的来源没有多大帮助。

---

我只想确保所有请求都通过代理到达我的服务器，并且我不希望客户端可以更改此信息以让服务器认为它来自代理不是……

理论上客户端可以欺骗代理的IP地址，但这并不容易。