موثوقية $_SERVER['REMOTE_ADDR']

يعد $_SERVER['REMOTE_ADDR'] متغيرًا حيويًا في تطوير الويب، توفير عنوان IP للعميل الذي يبدأ طلب HTTP. ومع ذلك، هناك مفهوم خاطئ شائع مفاده أنه يمكن انتحال هذه القيمة بسهولة، مما يؤدي إلى مخاوف بشأن مصداقيتها.

هل يمكن الوثوق بـ $_SERVER['REMOTE_ADDR']؟

نعم، من الآمن بشكل عام أن تثق في قيمة $_SERVER['REMOTE_ADDR']. وهو يمثل عنوان IP الخاص باتصال TCP الخاص بالعميل ولا يمكن تعديله عن طريق تغيير رؤوس HTTP. وذلك لأن عنوان IP هو خاصية لاتصال TCP/IP ولا يتم نقله كجزء من رؤوس HTTP.

المخاطر المحتملة

ومع ذلك، هناك استثناء واحد مهم لهذه القاعدة. إذا كان الخادم الخاص بك خلف وكيل عكسي، فسيمثل REMOTE_ADDR عنوان IP الخاص بالخادم الوكيل، وليس العميل. في هذه الحالة، سيتم تضمين عنوان IP الخاص بالعميل في رأس HTTP، عادةً X-Forwarded-For.

على سبيل المثال، إذا كان الخادم الخاص بك خلف وكيل عكسي بعنوان IP 111.111.111.111، يطلب سيظهر الخادم الخاص بك وكأنه صادر من عنوان IP هذا. للحصول على عنوان IP الخاص بالعميل في هذا السيناريو، ستحتاج إلى فحص رأس X-Forwarded-For.

ومع ذلك، في معظم السيناريوهات الشائعة حيث تتلقى طلبات HTTP مباشرة من العملاء دون وكيل عكسي، فإن الثقة $_SERVER['REMOTE_ADDR'] هو أسلوب موثوق لتحديد عنوان IP الخاص بالعميل.