Yii::app()->request->userHostAddress几乎总是错误的，因它仅读$_SERVER['REMOTE_ADDR']，在Nginx/CDN/SLB场景下返回代理内网IP；正确方式是配置ipHeaders和trustedHosts后使用getUserIP()。
拿到的几乎总是错的——它只读
，在有 Nginx、CDN 或云 SLB 的场景下，这个值是上一跳代理的内网 IP（比如
），不是用户真实出口 IP。
必须主动配置可信代理和转发头，否则永远拿不到真实 IP。
Yii2 中 getUserIP() 为什么返回 127.0.0.1 或内网地址
这是最常被忽略的安全默认行为：
的
默认不信任任何代理，也不会解析
或
。它只看
，而反向代理会把自身 IP 填进去。
确认你是否用了 Nginx：检查 Nginx 配置里有没有
或
确认云厂商用的头名：腾讯云用
，阿里云 SLB 默认用
，AWS ALB 用
，但需注意多级代理时该头可能含多个 IP
必须同时配
和
，缺一不可；只加头不设可信段，
会直接忽略那些头
正确配置示例（
）：
Yii2 获取真实 IP 的推荐写法：别直接用 userHostAddress
是只读
的快捷属性，完全绕过代理逻辑，等价于裸写
。线上环境务必弃用。
统一走
，它会按
顺序读头，并校验来源 IP 是否在
内
如果需要兼容性更强的 fallback（比如某些 CDN 不传标准头），可手动补一层判断：
是底层方法，返回未经代理校验的
，仅作兜底，不能当主力
Yii3 使用 PSR-7 ServerRequest 时怎么取真实 IP
Yii3 彻底移除了
封装，所有逻辑得自己写。自由度高，但出错率也高——没人帮你校验代理是否可信。
WOC-YII开源站群管理系统1.3
WOC-YII是rschome.com基于yii framework 1.1.8框架所开发的一款开源简易站群管理系统。它的功能与WOC完全一样。目前版本为V1.3，新版本正在开发中，同时欢迎大家参与到开发中来！ WOC-YII 1.3在1.2的基础上优化了登录系统（密码加密），优化了权限控制系统，新增seo管理功能，新增自动安装向导！ 程序框架：yiiframework1.1.8 配置文件：p
下载
先读头：
（自动大小写不敏感）
拆出第一个非私有 IP：
，再逐个用
过滤
必须手写来源 IP 校验：
，然后判断它是否落在你的内网段（如
）内，只有可信来源才接受其转发的头
别忘了 fallback 到
——当所有头都为空或不可信时，这是唯一能用的值
调试 IP 获取失败的三个关键检查点
线上看到 IP 固定为
、
或空字符串，基本就卡在这三处。
Nginx（或 CDN）没转发 IP 头：用
手动测试头是否透传到底层 PHP
没覆盖实际代理网段：比如 SLB 实际出口是
，但配置里只写了
，那头就被无视了
PHP 运行模式影响
：FastCGI 下部分头可能被 Nginx 截断或重命名，检查
页面里的
是否存在
真实 IP 获取不是“调一个函数就行”的事，它是网络链路、中间件配置、框架安全策略三者对齐的结果。少对一环，拿到的就是假 IP。
Yii::app()->request->userHostAddress$_SERVER['REMOTE_ADDR']10.0.1.5Yii2getUserIP()X-Forwarded-ForX-Real-IPREMOTE_ADDRproxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;Tencent-Cloud-Real-IPX-Forwarded-ForX-Forwarded-ForipHeaderstrustedHostsgetUserIP()config/web.php'request' => [
'class' => 'yii\web\Request',
'ipHeaders' => ['X-Forwarded-For', 'X-Real-IP', 'Tencent-Cloud-Real-IP'],
'trustedHosts' => ['10.0.0.0/8', '192.168.0.0/16', '172.16.0.0/12'],
],
userHostAddressREMOTE_ADDR$_SERVER['REMOTE_ADDR']$request->getUserIP()ipHeaderstrustedHosts$ip = $request->getUserIP() ?: $request->getRemoteIP();getRemoteIP()REMOTE_ADDRgetUserIP()$request->getHeaderLine('X-Forwarded-For')array_filter(array_map('trim', explode(',', $xff)))filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)$clientIp = $request->getServerParams()['remote_addr'] ?? '127.0.0.1';10.0.0.0/8$clientIp127.0.0.110.x.x.xcurl -H "X-Real-IP: 1.2.3.4" http://your-site.com/testtrustedHosts172.20.10.5192.168.0.0/16$_SERVERphpinfo()HTTP_X_REAL_IP