一. 如何獲取使用者IP地址

    public static function getClientIp()
    {
        if (getenv('HTTP_CLIENT_IP')) {
            $ip = getenv('HTTP_CLIENT_IP');
        }
        if (getenv('HTTP_X_REAL_IP')) {
            $ip = getenv('HTTP_X_REAL_IP');
        } elseif (getenv('HTTP_X_FORWARDED_FOR')) {
            
 
$ip = getenv('HTTP_X_FORWARDED_FOR');
            $ips = explode(',', $ip);
            $ip = $ips[0];
        } elseif (getenv('REMOTE_ADDR')) {
            $ip = getenv('REMOTE_ADDR');
        } else {
            $ip = '0.0.0.0';
        }

        return $ip;
    }

 注意：

$_SERVER和getenv的區別，getenv不支援IIS的isapi方式執行的php
getenv(“REMOTE_ADDR”)函式在 apache下能正常獲取ip地址，而在iis中沒有作用，而$_SERVER['REMOTE_ADDR']函式，既可在apache中成功獲取訪客的ip地址，在iis下也同樣有效

一、關於 REMOTE_ADDR
這個變數獲取到的是《直接來源》的 IP 地址，所謂《直接來源》指的是直接請求該地址的客戶端 IP 。這個 IP 在單伺服器的情況下，很準確的是客戶端 IP ，無法偽造。當然並不是所有的程式都一定是單伺服器，比如在採用負載均衡的情況（比如採用 haproxy 或者 nginx 進行負載均衡），這個 IP 就是轉發機器的 IP ，因為過程是客戶端->負載均衡->服務端。是由負載均衡直接訪問的服務端而不是客戶端。

二、關於 HTTP_X_FORWARDED_FOR 和 HTTP_CLIENT_IP
基於《一》，在負載均衡的情況下直接使用 REMOTE_ADDR 是無法獲取客戶端 IP 的，這就是一個問題，必須解決。於是就衍生出了負載均衡端將客戶端 IP 加入到 HEAD 中傳送給服務端，讓服務端可以獲取到客戶端的真實 IP 。當然也就產生了各位所說的偽造，畢竟 HEAD 除了協議裡固定的那幾個資料，其他資料都是可自定義的。

三、為何網上找到獲取客戶端 IP 的程式碼都要依次獲取 HTTP_CLIENT_IP 、 HTTP_X_FORWARDED_FOR 和 REMOTE_ADDR
基於《一》和《二》以及對程式通用性的考慮，所以才這樣做。 假設你在程式裡直接寫死了 REMOTE_ADDR ，有一天你們的程式需要做負載均衡了，那麼你有得改了。當然如果你想這麼做也行，看個人愛好和應用場景。也可以封裝一個只有 REMOTE_ADDR 的方法，等到需要的時候改這一個方法就行了。
 

總結：

HTTP_CLIENT_IP: 頭是有的，只是未成標準，不一定伺服器都實現了。

X-Forwarded-For（XFF）:  是用來識別通過HTTP代理或負載均衡方式連線到Web伺服器的客戶端最原始的IP地址的HTTP請求頭欄位, 格式：clientip,proxy1,proxy2

REMOTE_ADDR: 是可靠的， 它是最後一個跟你的伺服器握手的IP，可能是使用者的代理伺服器，也可能是自己的反向代理。

X-Forwarded-For 和 X-Real-IP區別：

X-Forwarded-For是用於記錄代理資訊的，每經過一級代理(匿名代理除外)，代理伺服器都會把這次請求的來源IP追加在X-Forwarded-For中, 而X-Real-IP，沒有相關標準, 其值在不同的代理環境不固定

關於此的更多討論可以參考：https://www.douban.com/group/topic/27482290/ 

1. 負載均衡情況： 

生產環境中很多伺服器隱藏在負載均衡節點後面，你通過REMOTE_ADDR只能獲取到負載均衡節點的ip地址，一般的負載均衡節點會把前端實際的ip地址通過HTTP_CLIENT_IP或者HTTP_X_FORWARDED_FOR這兩種http頭傳遞過來。

後端再去讀取這個值就是真實可信的，因為它是負載均衡節點告訴你的而不是客戶端。但當你的伺服器直接暴露在客戶端前面的時候，請不要信任這兩種讀取方法，只需要讀取REMOTE_ADDR就行了

延伸閱讀：一張圖解釋負載均衡

2. CDN的情況：

所以對於我們獲取使用者的IP，應該擷取http_x_forwarded_for的第一個有效IP(非unknown)。

多層代理時，和cdn方式類似。

注意：

無論是REMOTE_ADDR還是HTTP_FORWARDED_FOR，這些頭訊息未必能夠取得到,因為不同的瀏覽器不同的網路裝置可能傳送不同的IP頭訊息

 二. 防止IP注入攻擊

加入以下程式碼防止IP注入攻擊：

// IP地址合法驗證, 防止通過IP注入攻擊
$long = sprintf("%u", ip2long($ip));
$ip = $long ? array($ip, $long) : array('0.0.0.0', 0);

一般獲取IP後更新到資料庫程式碼如： $sql="update t_users set login_ip='".get_client_ip()."' where ..." ，而如果接收到的ip地址是： xxx.xxx.xxx.xxx';delete from t_users;--  ，代入引數SQL語句就變成了： "update t_users set login_ip='xxx.xxx.xxx.xxx';delete from t_users;-- where ... 

所以獲取IP地址後，務必使用正則等對IP地址的有效性進行驗證，另外一定要使用引數化SQL命令

 解析：

sprintf() 函式把格式化的字串寫入變數中。

• %u - 不包含正負號的十進位制數（大於等於 0）

int ip2long ( string $ip_address ) :

返回IP地址轉換後的數字 或 FALSE 如果 ip_address 是無效的。

注意 : 

例子說明列印一個轉換後的地址使用 printf() 在PHP4和PHP5的功能:

<?php
$ip   = gethostbyname('www.example.com');
$long = ip2long($ip);

if ($long == -1 || $long === FALSE) {
    echo 'Invalid IP, please try again';
} else {
    echo $ip   . "\n";           // 192.0.34.166
    echo $long . "\n";           // -1073732954
    printf("%u\n", ip2long($ip)); // 3221234342
}
?>

1. 因為PHP的 integer 型別是有符號，並且有許多的IP地址講導致在32位系統的情況下為負數， 你需要使用 "%u" 進行轉換通過 sprintf() 或printf() 得到的字串來表示無符號的IP地址。

2. ip2long() 將返回 FALSE 在IP是 255.255.255.255 的情況，版本為 PHP 5 <= 5.0.2. 在修復後 PHP 5.0.3 會返回 -1 (與PHP4相同).

三. 防刷機制

對於獲取到IP後我們可以做一些防刷操作：

//ip限額
$ip = getClientIp();
$ipKey = "activity_key_{$ip}";

if (!frequencyCheckWithTimesInCache($ipKey, $duration, $limitTimes)) {
    return false;
}
return true;

// 限制id，在$second時間內，最多請求$times次    

public static function frequencyCheckWithTimesInCache($id, $second, $times)
    {
        $value = Yii::app()->cache->get($id);
        if (!$value) {
            $data[] = time();
            Yii::app()->cache->set($id, json_encode($data), $second);

            return true;
        }
        $data = json_decode($value, true);
        if (count($data) + 1 <= $times) {
            $data[] = time();
            Yii::app()->cache->set($id, json_encode($data), $second);

            return true;
        }

        if (time() - $data[0] > $second) {
            array_shift($data);
            $data[] = time();
            Yii::app()->cache->set($id, json_encode($data), $second);

            return true;
        }

        return false;
    }

舉例：

限制每小時請求不超過50次

if (!frequencyCheckWithTimesInCache('times_uid_' . $uid, 3600, 50)) {
            return '請求過於頻繁';
        }

防刷升級限制裝置號：

//裝置號 一個裝置號最多隻能抽獎3次
        if(! empty($deviceId)){
                $deviceUseChance = Yii::app()->db->createCommand()
                    ->select('count(id)')->from('activity00167_log')
                    ->where('device_id=:deviceId',['deviceId'=>$deviceId])
                    ->queryScalar();
                $deviceChance = 3 - $deviceUseChance;
        } 

對於獲取IP地址還可以在大資料分析使用者的地理位置，比如做一些精準投放等工作。

以上有理解不正確的歡迎指出討論~

參考文章：

https://www.cnblogs.com/iteemo/p/5062291.html

https://segmentfault.com/q/1010000000686700

http://www.cnblogs.com/sochishun/p/7168860.html