在Java Web开发中，获取客户端真实IP地址是一个常见的需求，特别是在处理访问日志、数据分析或者安全防护等场景中。然而，当用户通过代理服务器访问Web应用时，直接使用`HttpServletRequest`对象的`getRemoteAddr()`方法获取的IP地址通常会是代理服务器的地址，而不是用户的实际IP。为了解决这个问题，我们需要考虑HTTP头信息中的`X-Forwarded-For`字段。
`X-Forwarded-For`是一个HTTP扩展头部，用于记录客户端经过的代理服务器链路信息。当请求经过多级代理时，这个头信息会被每个代理服务器依次添加上自己的IP地址。因此，它的值可能包含多个IP地址，按照代理顺序从前到后排列，第一个非"unknown"的IP地址通常被视为最原始的客户端IP地址。
以下是两种常见的Java方法来获取客户端真实IP：
**方法一：**
```java
public String getRemortIP(HttpServletRequest request) {
if (request.getHeader("x-forwarded-for") == null) {
return request.getRemoteAddr();
}
return request.getHeader("x-forwarded-for");
}
```
这个方法首先检查`X-Forwarded-For`头是否存在。如果不存在，它会退回到使用`getRemoteAddr()`获取IP地址。但是，这种方法没有处理多级代理的情况。
**方法二：**
```java
public String getIpAddr(HttpServletRequest request) {
String ip = request.getHeader("x-forwarded-for");
if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("Proxy-Client-IP");
}
if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getHeader("WL-Proxy-Client-IP");
}
if(ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) {
ip = request.getRemoteAddr();
}
return ip;
}
```
这个方法更全面，除了检查`X-Forwarded-For`，还尝试了`Proxy-Client-IP`和`WL-Proxy-Client-IP`这两个可能的代理头字段。同样，如果这些头都不存在或值为"unknown"，则退回到`getRemoteAddr()`。对于`X-Forwarded-For`，该方法并未处理多级代理的情况，所以在实际使用中，可能需要进一步解析并提取第一个有效IP。
为了处理多级代理的情况，我们需要对`X-Forwarded-For`头的值进行解析，找到第一个非"unknown"的IP地址。以下是一个改进的示例：
```java
public String getRealIp(HttpServletRequest request) {
String ip = request.getHeader("x-forwarded-for");
if (ip == null || ip.isEmpty()) {
ip = request.getRemoteAddr();
}
// 处理多级代理，取第一个非"unknown"的IP
String[] ips = ip.split(",");
for (int i = 0; i < ips.length; i++) {
if (!"unknown".equalsIgnoreCase(ips[i].trim())) {
return ips[i].trim();
}
}
return ip;
}
```
这个改进的方法首先尝试获取`X-Forwarded-For`，如果为空，则使用`getRemoteAddr()`。然后，它将`X-Forwarded-For`的值按逗号分隔，遍历并返回第一个非"unknown"的IP地址。
获取客户端真实IP地址需要考虑到代理服务器的影响，并正确处理HTTP头信息。在处理`X-Forwarded-For`时，应特别注意可能存在的多级代理情况，确保返回的是最接近客户端的IP地址。
