雷池取客户端IP问题

如果前面有cdn, 雷池获取ip方式是从X-Forwarded-For协议头, 从右边往左边获取ip.
但是有的cdn携带的ip 2-4个, 比如七牛的全网加速.
询问过客服,这个ip数量不是固定的,

X-Forwarded-For: 47.121.223.65, 120.41.32.50, 222.222.94.67
X-Forwarded-For: 130.248.61.101,118.212.230.60, 36.248.69.106, 124.236.65.54

这种情况, 雷池不是抓瞎了? 连真实ip都取不到, 跟防护相关的就全没意义了.

雷池是从右往左取ip,七牛云全网加速的真实ip放在左边第一个, 数量又不固定.
导致雷池获取到的ip都是错误的. 希望后面更新下.

XFF 数量不固定这个让 WAF 怎么判断呢？这个不是 waf 的 bug，而是七牛云的实现不安全。
另外的解决方案就是从别的 header 拿，让七牛云给你固定一个 header 传递真实 ip，例如 x-real-ip

这就是我不喜欢七牛的原因，他们家经常出现这种问题。
临时解决方案是自定义回源IP头，比如使用Connect-IP回传连接IP地址，并在CDN测删除包含IP头的Header，包括
x-real-ip
X-Forwarded-For
等防止伪造。