Как получить IP-адрес клиента в PHP: правильное решение

Правильное получение IP-адреса клиента в PHP

Ваша проблема типична для начинающих разработчиков. $_SERVER['REMOTE_ADDR'] — это единственный надёжный источник, но он показывает IP последнего узла в цепочке (прокси, балансировщик). Для получения реального IP клиента нужно анализировать HTTP-заголовки, но делать это безопасно.

Основные заголовки для определения IP

• REMOTE_ADDR — IP последнего узла (всегда доступен, не подделывается)
• HTTP_CLIENT_IP — редко используется, может быть подделан
• HTTP_X_FORWARDED_FOR — список IP через запятую (клиент, прокси1, прокси2...)
• HTTP_X_REAL_IP — часто используется Nginx, содержит один IP
• HTTP_CF_CONNECTING_IP — специальный заголовок Cloudflare

Безопасное решение

Никогда не доверяйте заголовкам, если не контролируете прокси. Лучшая практика — проверять доверенные прокси и брать первый IP из списка X-Forwarded-For. Вот надёжная функция:

function getClientIP() {
    $ip = $_SERVER['REMOTE_ADDR'] ?? '0.0.0.0';
    
    // Список доверенных прокси (IP вашего Nginx, Cloudflare и т.д.)
    $trustedProxies = ['127.0.0.1', '::1', '10.0.0.0/8', '172.16.0.0/12'];
    
    // Проверяем, идёт ли трафик через доверенный прокси
    if (in_array($ip, $trustedProxies)) {
        // Проверяем Cloudflare
        if (!empty($_SERVER['HTTP_CF_CONNECTING_IP'])) {
            return filter_var($_SERVER['HTTP_CF_CONNECTING_IP'], FILTER_VALIDATE_IP);
        }
        
        // Проверяем X-Real-IP (Nginx)
        if (!empty($_SERVER['HTTP_X_REAL_IP'])) {
            return filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP);
        }
        
        // Проверяем X-Forwarded-For
        if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
            $ips = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
            $firstIP = trim($ips[0]);
            return filter_var($firstIP, FILTER_VALIDATE_IP) ? $firstIP : $ip;
        }
    }
    
    return $ip;
}

$clientIP = getClientIP();
echo "Ваш IP: " . htmlspecialchars($clientIP, ENT_QUOTES, 'UTF-8');

Обработка IPv6

Функция filter_var() с флагом FILTER_VALIDATE_IP корректно обрабатывает как IPv4, так и IPv6 адреса. Дополнительно можно проверить версию протокола:

if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)) {
    echo "Это IPv6 адрес";
} elseif (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
    echo "Это IPv4 адрес";
}

Важные предостережения

• Никогда не используйте HTTP_CLIENT_IP без проверки — он подделывается тривиально
• Всегда фильтруйте IP через filter_var() — защита от инъекций
• Не доверяйте X-Forwarded-For от непроверенных прокси — злоумышленник может подставить любой IP
• Для критической безопасности (бан, аутентификация) используйте только REMOTE_ADDR
• Логируйте все заголовки — это поможет при отладке

Если используете Cloudflare, рекомендую установить их официальный SDK, который автоматически обрабатывает заголовки.

composer require mlocati/ip-lib

use IPLib\Factory;
use IPLib\Address\AddressInterface;

$request = Factory::getCurrentRequest();
$clientIP = $request->getClientIP();

if ($clientIP !== null) {
    echo "IP: " . $clientIP->toString();
} else {
    echo "Не удалось определить IP";
}

// Получить все возможные IP из заголовков
$addresses = $request->getClientIPs();
foreach ($addresses as $addr) {
    echo $addr->toString() . "\n";
}