Skip to main content
se añadieron 8 caracteres en el cuerpo
Origen Enlace
Black Sheep
  • 13.6k
  • 9
  • 38
  • 62
function getUserIpAddress() {
    
    foreach ( [ 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR' ] as $key ) {
        
        // Comprobamos si existe la clave solicitada en el array de la variable $_SERVER 
        if ( array_key_exists( $key, $_SERVER ) ) {
            
            // Eliminamos los espacios blancos del inicio y final para cada clave que existe en la variable $_SERVER 
            foreach ( array_map( 'trim', explode( ',', $_SERVER[ $key ] ) ) as $ip ) {
                
                // Filtramos* la variable y retorna el primero que pase el filtro
                if ( filter_var( $ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE ) !== false ) {
                    return $ip;
                }
            }
        }
    }
    
    return '?'; // Retornamos '?' si no hay ninguna IP o no pase el filtro
} 
function getUserIpAddress() {
    
    foreach ( [ 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR' ] as $key ) {
        
        // Comprobamos si existe la clave solicitada en el array de la variable $_SERVER 
        if ( array_key_exists( $key, $_SERVER ) ) {
            
            // Eliminamos los espacios blancos del inicio para cada clave que existe en la variable $_SERVER 
            foreach ( array_map( 'trim', explode( ',', $_SERVER[ $key ] ) ) as $ip ) {
                
                // Filtramos* la variable y retorna el primero que pase el filtro
                if ( filter_var( $ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE ) !== false ) {
                    return $ip;
                }
            }
        }
    }
    
    return '?'; // Retornamos '?' si no hay ninguna IP o no pase el filtro
} 
function getUserIpAddress() {
    
    foreach ( [ 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR' ] as $key ) {
        
        // Comprobamos si existe la clave solicitada en el array de la variable $_SERVER 
        if ( array_key_exists( $key, $_SERVER ) ) {
            
            // Eliminamos los espacios blancos del inicio y final para cada clave que existe en la variable $_SERVER 
            foreach ( array_map( 'trim', explode( ',', $_SERVER[ $key ] ) ) as $ip ) {
                
                // Filtramos* la variable y retorna el primero que pase el filtro
                if ( filter_var( $ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE ) !== false ) {
                    return $ip;
                }
            }
        }
    }
    
    return '?'; // Retornamos '?' si no hay ninguna IP o no pase el filtro
} 
Origen Enlace
Black Sheep
  • 13.6k
  • 9
  • 38
  • 62

Los códigos dados en las respuestas son vulnerables a la falsificación (spoofing) y tienes que tener cuidado donde lo uses.

En simple palabras:

Obtener la dirección IP real de un cliente/usuario nunca será fiable.


En las respuestas se encuentra varios encabezados (HTTP_) cuales no se sabe si están establecidos por diferentes proxies y el problema es que con los encabezados HTTP pueden ser manipulados fácilmente:

  • curl: curl --header "X-Forwarded-For: 192.168.0.2" http://example.com
  • Extensión para Chrome: ModHeader

Es decir, por seguridad (ej. en el entorno de autenticaciones o similar), no se debería utilizarse ninguno de esos valores, ya que el cliente/usuario puede modificar el encabezado X_FORWARDED_FOR o CLIENT_IP a cualquier valor, al menos que tengas un proxy inverso de confianza.

Y de todas maneras se debería validar las entradas del cliente/usuario ya que puede incluir sentencias peligrosas en el encabezado HTTP, ej.: '; DROP TABLE users;--


No estando detrás de un proxy:

REMOTE_ADDR te dará una IP real, la cual sera la más confiable que puedes obtener, siendo la IP de origen de la conexión TCP y no puede sustituirse cambiando una cabecera HTTP.


Sabiendo todo esto y teniendo las precauciones puedes obtener la IP de la siguiente forma:

function getUserIpAddress() {
    
    foreach ( [ 'HTTP_CLIENT_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_FORWARDED', 'HTTP_X_CLUSTER_CLIENT_IP', 'HTTP_FORWARDED_FOR', 'HTTP_FORWARDED', 'REMOTE_ADDR' ] as $key ) {
        
        // Comprobamos si existe la clave solicitada en el array de la variable $_SERVER 
        if ( array_key_exists( $key, $_SERVER ) ) {
            
            // Eliminamos los espacios blancos del inicio para cada clave que existe en la variable $_SERVER 
            foreach ( array_map( 'trim', explode( ',', $_SERVER[ $key ] ) ) as $ip ) {
                
                // Filtramos* la variable y retorna el primero que pase el filtro
                if ( filter_var( $ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE ) !== false ) {
                    return $ip;
                }
            }
        }
    }
    
    return '?'; // Retornamos '?' si no hay ninguna IP o no pase el filtro
} 

* Usamos la función filter_var() para filtrar los valores con las siguientes indicaciones:

  • FILTER_VALIDATE_IP

    Valida si es valor es una dirección IP, sea IPv4 o IPv6.

  • FILTER_FLAG_NO_PRIV_RANGE:

    Falla si se intenta validar alguna de los siguientes rangos privados de IPv4: 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16.

    Falla si se intenta validad direcciones IPv6 que empiecen por FD o FC.

  • FILTER_FLAG_NO_RES_RANGE :

    Falla si se intenta validad alguno de los siguientes rangos IPv4 reservados: 0.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24 y 224.0.0.0/4. ( tipos localhost/127.0.0.1 )

    Este flag no se aplica a direcciones IPv6.

Fuentes: