リクエストに対するRailsのActionPack remote_ipの信頼性はどれくらいですか？

Question

私はいつもパブリックIPアドレスを返すメソッドを知っています。あなたがwhatismyip.comのような外部サービスを使用しない限り、彼らは一般的に欠陥があるようです。

Railsのremote_ipメソッドは、外部パブリックIPを100％決定する際にどの程度信頼性がありますか？https://github.com/rails/rails/blob/master/actionpack/lib/action_dispatch/middleware/remote_ip.rb

私が戦っていた問題がCloudFlareであり、別のヘッダがCF-Connecting-IPであることが判明しました。この特定の状況を克服するためには、私は(headers["CF-Connecting-IP"] || remote_ip)の行に沿って何かを介してそれを突き止めなければならないように見える。

だから私はサルのパッチremote_ipを必要とするか、またはこれを考慮して、どこでも自分のコードを乾燥させる必要はありません。

Answer 1

remote_ipはHTTPリクエストヘッダに由来しているため、変更方法を知っている人なら誰でもremote_ipアドレスを変更できます。プロキシを使用してアドレスを変更することも可能です。ジオロケーションなどのために使うことができますが、ブラックリストやホワイトリストには適していないと思います。

Answer 2

私はremote_ipの現在の実装の作者だ、と私は（要求が複数のX-Forwarded-Forヘッダーが含まれている場合は特に）が正しくX-Forwarded-Forを処理するために、それを手直ししなければなりませんでした。メソッドがCF-Connecting-IPヘッダーもチェックするプルリクエストを送信したいと思うかもしれません。最後に、プロダクションで使用するアプリサーバーを変更する必要があります。その一部はignore repeated request headersです。