X-Forwarded-For，建议现在就加上 sockopt.trustedXForwardedFor，详见 https://github.com/XTLS/Xray-core/pull/5331 ，这 PR 去年就合了 Post #2738
9.18K
Project X Channel 💬 New comment on Xray-core#6110 Remove `xray.cone.disabled` env var by @RPRX @Meo597 要不在哪先加个合适的 warning 吧，以后再设成默认不信任 X-Forwarded-For Reply to this message to post a comment on GitHub.
其实有可能很快，甚至下个版本开始就默认不信任
GitHub Sockopt config: Add `trustedXForwardedFor` (for XHTTP, WS, HU inbounds) by RPRX · Pull Request #5331 · XTLS/Xray-core Fixes #5101 (comment)
如上链接所述，XHTTP、WS、HU 这三个入站有一个问题是默认读取请求方 HTTP 头内的 X-Forwarded-For 并覆写 SourceIP
原意是获取请求方的真实 IP，因为 CDN 默认会加它，还有 Nginx 等 HTTP 反代软件需要自己配置
但如果前面没有任何一个可信任的源加了它，比如 REALITY 直连，则由于它的优先级最高... - 👍 13
- ❤ 1
- 👏 1