# 可信代理地址整改记录 ## 范围与状态 本轮针对 Nginx 反代后登录 IP 限流、验证码绑定和自助恢复来源均被识别为回环地址的问题。基线提交为 `05b2445`，修改前已推送远程仓库。所有测试执行在 `47.108.78.12`；本机只编辑、静态检查、交叉编译 Linux 测试程序和上传，不运行测试程序。 - [✓] 明确配置的可信代理才允许传递客户端地址，空配置不隐式信任回环来源。 - [✓] 登录限流和安全验证统一使用客户端地址解析，不修改请求的原始连接地址。 - [✓] 26 个解析场景、空请求和真实隔离 Nginx 双来源测试通过。 - [✓] 控制器 85 项、HTTP 层 65 项完整逐用例回归通过；浏览器专用夹具 1 项跳过，不计作浏览器验收。 - [ ] 最新应用构建、隔离安装、可信代理配置迁移、实际登录和验证码流程、生产部署及回退验收。 本轮未清理生产数据库、未改生产程序、未调整邮件端口、未开启公共管理接口。当前生产应用仍为此前部署版本，不能把候选测试通过描述为线上 IP 限流问题已解决。 ## 实现边界 `backend/utils/clientip` 接收请求和 `http.trustedProxyCidrs`，先检查真实 TCP 来源是否位于显式配置的可信网段。只有可信来源的单个 `X-Forwarded-For` 头可参与解析；不将 `X-Real-IP` 或 `Forwarded` 当作回退来源。 多级代理链从右向左检查，停在首个非可信地址，不使用任意客户端可添加的最左侧地址。重复头、非法或空链元素、带端口或区域标识的地址、未指定地址、多播地址、超长头和超过 32 跳的链均回退到真实连接来源。IPv4 映射 IPv6 先规范化，避免同一来源形成多个限流键。配置中包含非法网段时也不信任转发头。 控制器 `remoteIP` 和 `loginRemoteHost` 共用同一解析结果，因此验证码签发、验证、恢复和登录限流对来源的理解一致。账号维度限流保持不变。没有修改 `RemoteAddr`，首次安装来源限制、原有 TLS 模式识别和本机管理 IPC 边界保持不变。 上线时应仅配置真实代理网段。本服务器上游为 `127.0.0.1:8002`，可使用 `127.0.0.1/32`；仅在确实使用 IPv6 回环上游时再加入 `::1/128`。不得为了兼容而配置 `0.0.0.0/0` 或 `::/0`。Nginx 必须继续使用 `proxy_set_header X-Forwarded-For $remote_addr` 覆盖客户端头，而非无条件信任已有转发链。若以后接入 CDN，需要重新确定代理信任边界并验收，不能直接扩大网段。 更正真实 IP 可能使部署前按回环地址绑定的待验证挑战失效，应重新发起验证；不得为迁移兼容而跳过 IP 绑定。该变更本身不声称已经撤销所有旧会话或完成管理员恢复验收。 ## 已有证据 首轮目录：`/var/tmp/smail-review-proxy-20260918`。单元 `smail-tests-20260918-004126` 在 128 MiB 上限、独立网络、只读系统、禁止访问生产应用和管理接口的环境执行。39 个顶层针对性测试通过；浏览器专用夹具 `TestSecuritySetupBrowserFixture` 跳过，不能计作浏览器验收。运行 450 毫秒，峰值 16.5 MiB，交换为零。 最终候选目录：`/var/tmp/smail-review-proxy-final-20260918`。三个测试程序上传后核对 SHA-256，清单保存于 `manifest.json`，未覆盖首轮产物。 客户端地址单元 `smail-tests-20260918-004453`：三个顶层测试通过、无跳过；包含 26 个解析子场景及两条真实 Nginx 来源链路。测试在独立网络创建自己的 Nginx 和后端，仅连接该网络中的回环地址；不读取宿主机 Nginx 配置，不连接线上后端。来自 `127.0.0.2` 和 `127.0.0.3` 的重复伪造转发头经 Nginx 覆盖后，后端仍分别识别真实来源，连接来源保持 `127.0.0.1`。 完整回归单元：`smail-tests-20260918-004454`，使用 192 MiB 上限，逐用例独立进程，避免历史全局状态干扰；结果位于 `results-20260918-004454`。控制器 85 项通过、无跳过，HTTP 层 65 项通过、浏览器专用夹具 1 项跳过；两包均无失败。单元成功退出，运行 1 分 59.158 秒，峰值 143.7 MiB，交换为零。客户端解析单元运行 403 毫秒，峰值 12 MiB，交换为零。 收尾直接读取远程两份 `results.json` 复核，Nginx 主进程 `578671`、Smail 主进程 `574584` 未变化，均为运行状态且自动重启计数为零。代码候选已封存为 `a4280e7` 并推送；尚未据此签署最终发布验收。