php - 信任 $_SERVER ['REMOTE_ADDR' 是否安全？

Question

信任 $_SERVER['REMOTE_ADDR'] 是否安全？可以通过更改请求的 header 或类似的东西来代替吗？

这样写安全吗？

if ($_SERVER['REMOTE_ADDR'] == '222.222.222.222') { // my ip address
    $grant_all_admin_rights = true;
}

Answer 1

是的，它是安全的。它是 TCP 连接的源 IP，不能通过更改 HTTP header 来替代。

您可能需要担心的一种情况是，如果您使用反向代理，在这种情况下，REMOTE_ADDR 将始终是代理服务器的 IP，并且用户 IP 将在 HTTP header 中提供(例如 X-Forwarded-For ) .但对于正常用例，读取 REMOTE_ADDR 就可以了。