X-Forwarded-For是可以伪造的，用这个来判断ip非常不准。我自己就碰到过客户ip是10.0.0.x的情况，原因就是X-Forwarded-For中10.0.0.x是第一个。推荐使用X-Real-IP，若用php则为HTTP_X_REAL_IP Posted at Nginx Forum: http://forum.nginx.org/read.php?2,1909,1921#msg-1921