在 Postman 中设置 X-Forwarded-For 请求头，是测试网站获取访问者 IP 功能的常用方法。操作本身很简单，但要让测试结果准确，需要注意一些细节。

📝 在 Postman 中设置 X-Forwarded-For 的步骤

1. 打开请求配置：在 Postman 中新建或打开一个请求，切换到 “Headers” 选项卡。

2. 添加请求头：在 Key/Value 输入框中，进行如下填写：

   • Key：X-Forwarded-For

   • Value：你想模拟的 IP 地址，例如 203.0.113.1。

3. 发送请求：点击 “Send” 按钮，Postman 会将此头部连同请求一起发送到服务器。

🔍 理解 X-Forwarded-For 的格式与陷阱

X-Forwarded-For 的标准格式是 client_ip, proxy1_ip, proxy2_ip，多个 IP 之间用逗号加空格分隔。

一个常见的误区是认为“最左边的 IP 就是真实客户端 IP”。这在请求经过多个代理时是不准确的。实际上，每经过一个代理，代理服务器都会将自己的 IP 追加到该头部的最右侧。因此：

• 最左侧：通常记录的是最初发起请求的客户端 IP（但此值可被伪造）。

• 最右侧：是最后一个代理服务器的 IP。

• 真实客户端的 IP，取决于你的服务器架构信任第几层代理。例如，如果你信任最后一层代理，那么真实 IP 可能位于右数第二个位置。

⚠️ 重要安全提醒

X-Forwarded-For 是一个普通的 HTTP 请求头，客户端可以随意伪造。因此，在生产环境中，绝对不能盲目信任该头部中的 IP 地址来进行安全决策（如访问控制、速率限制）。正确的做法是在可信的代理层（如 Nginx）覆盖或重新设置此头部，只传递可信的 IP 链。