web-services - Request.ServerVariables ("REMOTE_ADDR")与 Request.ServerVariables ("HTTP_X_FORWARDED_FOR"的安全隐患)

Question

假设我们正在跟踪网络服务的最终用户 IP:

ip = Request.ServerVariables("HTTP_X_FORWARDED_FOR")
If ip = "" Then
    ip = Request.ServerVariables("REMOTE_ADDR")
End If

我了解到这是检索最终用户 IP 的最佳方法，因为它甚至适用于透明代理上的用户。

如果我们使用最终用户 IP 地址来过滤恶意用户，那么上述方法是否存在任何安全隐患，而不是仅使用 Request.ServerVariables("REMOTE_ADDR")？

例如，如果我们通过最终用户 IP 禁止恶意用户，他们是否可以通过代理轻松更改其 IP 并继续使用我们的网络服务？

提前感谢您的帮助。

Answer 1

REMOTE_ADDR 由 Web 服务器根据来自客户端的连接生成。 HTTP_X_FORWARDED_FOR 基于客户端发送的 HTTP header 。

您不能信任来自客户端的输入，尤其是容易伪造的输入，例如 HTTP header 。客户端可以将 anything 粘贴到该 HTTP_X_FORWARDED_FOR header 中。