**ip限制** http协议属于顶层,无法控制ip 不少代码会判断http头中的`HTTP_X_FORWARDED_FOR`是否是代理过来的,若是,则把其标记为ip.但是,`HTTP_X_FORWARDED_FOR`来自http请求中的`X-Forwarded-For`报头,而这个报头是可以修改的. 这就可能造成潜在的攻击.所以合理的判断是完全不考虑代理,而使用SERVER变量中的`HTTP_CLIENT_IP`或`REMOTE_ADDR`.二者很难伪造. 出于安全考虑,凡是