#代理

反向代理后面的真实 IP

直接读 X-Forwarded-For 的第一个值，等于让客户端自报身份。限流、封禁、审计全部建立在「IP 可信」上，这一步做错，后面全部失真。