Los códigos dados en las respuestas son vulnerables a la falsificación (spoofing) y tienes que tener cuidado donde lo uses.
En simple palabras:
Obtener la dirección IP real de un cliente/usuario nunca será fiable.
En las respuestas se encuentra varios encabezados (HTTP_
) cuales no se sabe si están establecidos por diferentes proxies y el problema es que con los encabezados HTTP
pueden ser manipulados fácilmente:
- curl:
curl --header "X-Forwarded-For: 192.168.0.2" http://example.com
- Extensión para Chrome: ModHeader
Es decir, por seguridad (ej. en el entorno de autenticaciones o similar), no se debería utilizarse ninguno de esos valores, ya que el cliente/usuario puede modificar el encabezado X_FORWARDED_FOR
o CLIENT_IP
a cualquier valor, al menos que tengas un proxy inverso de confianza.
Y de todas maneras se debería validar las entradas del cliente/usuario ya que puede incluir sentencias peligrosas en el encabezado HTTP
, ej.: '; DROP TABLE users;--
No estando detrás de un proxy:
REMOTE_ADDR
te dará una IP real, la cual sera la más confiable que puedes obtener, siendo la IP de origen de la conexión TCP y no puede sustituirse cambiando una cabecera HTTP
.
Sabiendo todo esto y teniendo las precauciones puedes obtener la IP de la siguiente forma:
function getUserIpAddress() {
foreach ( [ 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR' ] as $key ) {
// Comprobamos si existe la clave solicitada en el array de la variable $_SERVER
if ( array_key_exists( $key, $_SERVER ) ) {
// Eliminamos los espacios blancos del inicio para cada clave que existe en la variable $_SERVER
foreach ( array_map( 'trim', explode( ',', $_SERVER[ $key ] ) ) as $ip ) {
// Filtramos* la variable y retorna el primero que pase el filtro
if ( filter_var( $ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE ) !== false ) {
return $ip;
}
}
}
}
return '?'; // Retornamos '?' si no hay ninguna IP o no pase el filtro
}
* Usamos la función filter_var()
para filtrar los valores con las siguientes indicaciones:
Fuentes: