真实 IP 一直在，只是没人用：一个点不动的开关，牵出一个 IP 伪造漏洞
发布时间：2026-10-01 20:10 浏览量：16
AI技术分享 × 行业动态 × 创新实践
文章通过一次 Passkey 部署排查，揭示安全配置、会话绑定与代理真实 IP 之间的连锁问题。Passkey 需同时满足 config.yaml 中的 RP ID、HTTPS Origin 与数据库开关，后者只能禁用，不能替代前者。ESA 动态回源 IP 触发会话绑定，导致登录即掉线并吊销整个会话家族。真实 IP 应依靠可信回源网段和专用请求头还原，不能盲信 XFF；应用优先读取未被覆盖的 CF-Connecting-IP，还会造成白名单、审计和限流绕过。修复涵盖配置、数据库、nginx 与 ESA，并强调源站不可绕过、变更后必须实测验证。
该站点最新相关文章