在Java Web服務中支持基於IP的白名單

Question

我想在Java Web服務之一中支持基於IP的白名單。 為了實現這一點，我編寫了一個servlet過濾器，在其中我正在驗證remote-machine-ip是否屬於列入白名單的ips。 要確定遠程機器的IP，我正在使用以下代碼：-
String ipAddress = httpServletRequest.getRemoteAddr();
我想知道是否有一種方法可以使攻擊者無需進入遠程計算機就可以模仿遠程IP。 如果是，那么是否有更好的安全方法來確定遠程IP？

Answer 1

有一種方法，但是，這不是一個簡單的方法，有關更多詳細信息，請參見此答案 。

請記住，如果將應用程序部署在代理或CDN后面，那么httpServletRequest.getRemoteAddr()會很不好。 在這種情況下，您必須檢查X-FORWARDED-FOR標頭，然后很容易進行偽造。