Nginx 真实 IP 没传对，限流把自己人封了

[林小北]

真实 IP 头没传对或没信任对。限流看到同一个来源，就会把正常用户当攻击。

[会飞的杯子]

外层 Nginx 有 X-Forwarded-For，内层没配 real_ip。

[nora]

多层代理要有信任边界。不是看到 X-Forwarded-For 就信，要只信来自上游代理的头。

[阿航]

FRP 也要确认能不能保留来源信息。不同模式下行为不一样。

[小吴]

登录、注册、搜索、附件上传的限流策略也不应该一样。

[melo]

限流上线前要看基线。每分钟多少请求算正常，不能拍脑袋。

[会飞的杯子]

我们按单 IP 每分钟 60 次，结果一个公司出口就被封。

[Grace]

社区用户常在公司网络后面，单 IP 不等于单用户。可以结合账号、路径、风险等级。

[陈一]

错误提示也要面向用户。别直接显示 rate limit exceeded。

[会飞的杯子]

现在恢复真实 IP，登录限流也调宽了。

[半截薯条]

监控误封数量。限流不是开了就完事，要看有没有伤到正常用户。

[林小北]

复盘写“安全策略没有走用户路径验证”，不是 Nginx 配置小问题。