python3-requests伪造x-forwarded-for以及解决

通常，我们的服务器会有一级或者多级的反向代理，因此我们代码中拿remote_addr会取到最后一级反向代理的ip。为了拿到真实ip,常常会去x-Forward-For中拿用户最后一级代理Ip。但是由于该值是header中的，直接去取可能取到用户伪造的Ip。

x-forwarded-for资料

这一HTTP头一般格式如下:

X-Forwarded-For: client1, proxy1, proxy2

其中的值通过一个逗号+空格把多个IP地址区分开, 最左边（client1）是最原始客户端的IP地址, 代理服务器每成功收到一个请求，就把请求来源IP地址添加到右边。在上面这个例子中，这个请求成功通过了三台代理服务器：proxy1, proxy2 及 proxy3。请求由client1发出，到达了proxy3（proxy3可能是请求的终点）。请求刚从client1中发出时，XFF是空的，请求被发往proxy1；通过proxy1的时候，client1被添加到XFF中，之后请求被发往proxy2;通过proxy2的时候，proxy1被添加到XFF中，之后请求被发往proxy3；通过proxy3时，proxy2被添加到XFF中，之后请求的的去向不明，如果proxy3不是请求终点，请求会被继续转发。

模拟x-forwarded-for

import requests

url = 'http://xx.a.com/my'

cookies ={'_ga':'GA1.2.1078940745.1527045185'}

headers = {'X-Forwarded-For':'8.8.8.8', 'content-type':'application/json'}

print(headers)

cookies

req = requests.get(url,headers=headers,cookies=cookies)

print(req.content.decode('utf-8'))