PHP获取IP方式变化详解

PHP 获取客户端 IP 的逻辑未变，但错误报告更严格；CLI 模式下无法获取 SERVER_ADDR；filter_var 对 IPv6 校验更严；真实 IP 依赖代理配置而非 PHP 版本。

PHP 8.0+ 中 $_SERVER 的代理头行为没变，但错误抑制更严格

PHP 获取客户端 IP 的逻辑本身从 5.3 到 8.3 都没变——核心仍是依赖 $_SERVER 超全局变量，没有语言层新增函数或自动解析机制。变化在于「报错级别」和「环境兼容性」：PHP 8.0 开始默认启用 E_WARNING 级别错误报告，而像 $_SERVER['HTTP_X_FORWARDED_FOR'] 这类未设置的键，旧版可能静默返回 NULL 或空字符串，新版会直接触发 Notice: Undefined index（除非显式抑制）。

实操建议：
• 永远用 isset() 或 !empty() 判断，别直接下标访问
• 不要依赖 @ 抑制符，它在 PHP 8.0+ 中对某些 Notice 已失效
• 若用 Composer 包（如 symfony/http-foundation），其 getClientIp() 方法内部已做兼容封装，比手写更稳

CLI 模式下永远拿不到 $_SERVER['SERVER_ADDR']，和 PHP 版本无关

这不是版本差异，是运行模型根本不同：CLI 是独立进程，不走 Web 服务器，所以 $_SERVER 中所有与网络请求相关的键（SERVER_ADDR、REMOTE_ADDR、HTTP_HOST）全为空或未定义。哪怕你用 PHP 8.3 运行 php script.php，echo $_SERVER['SERVER_ADDR'] 仍会报 Notice 或输出空字符串。

实操建议：
• CLI 获取本机真实 IP 必须走系统命令：hostname -I（Linux/macOS）或 ipconfig（Windows）
• 推荐用 gethostbyname(gethostname()) 作 fallback，但它只查 /etc/hosts 或 DNS，可能返回 127.0.1.1 这类不可靠地址
• 容器环境（Docker/K8s）中，hostname -I 可能返回内网桥接地址，需结合 ip route | grep default 判断主网卡

PHP 7.3+ 对 filter_var($ip, FILTER_VALIDATE_IP) 增加了 IPv6 支持细节

虽然验证函数本身没改名，但 PHP 7.3 起对 IPv6 地址的校验更严格：比如 ::1（本地环回）能通过，但 2001:db8::（前缀合法但无主机位）会被拒绝；PHP 7.2 及更早则可能放行。这对判断代理头里是否混入伪造 IPv6 地址很关键。

实操建议：
• 校验客户端 IP 时，明确指定 FILTER_FLAG_IPV4 或 FILTER_FLAG_IPV6，避免模糊匹配
• 若从 HTTP_X_FORWARDED_FOR 解析出多个 IP（逗号分隔），必须逐个 filter_var()，不能只验第一个
• 注意：filter_var('127.0.0.1, 192.168.1.100', FILTER_VALIDATE_IP) 会返回 false，因为整个字符串不是单个合法 IP

云环境和反向代理让「哪个 IP 才算真实」彻底脱离 PHP 版本控制

无论 PHP 是 7.4 还是 8.3，在 Nginx 反代 + Cloudflare 或阿里云 SLB 后，$_SERVER['REMOTE_ADDR'] 永远是上一跳的内网 IP（如 127.0.0.1 或 10.0.1.5），而真实用户 IP 只能来自 HTTP_CF_CONNECTING_IP（Cloudflare）或 HTTP_X_REAL_IP（Nginx 配置的可信头）。PHP 版本对此毫无干预能力。

实操建议：
• 在 Web 服务器层（Nginx/Apache）配置可信代理 IP 段，并用 set_real_ip_from + real_ip_header 显式传递真实 IP
• PHP 层只信任白名单内的代理传来的 X-Forwarded-For，其他一律忽略
• Serverless 环境（如阿里云 FC）中，$_SERVER 可能被运行时截断，SERVER_ADDR 固定为 127.0.0.1，此时必须读取平台提供的环境变量（如 FC_SERVER_PORT）间接推断

真正决定 IP 获取成败的，从来不是 PHP 版本号，而是你有没有看清「请求链路在哪一层被代理」「当前运行模式是 Web 还是 CLI」「校验逻辑是否防得住伪造」——这些点漏掉任何一个，换到 PHP 9 也照样拿错 IP。