req.ip可以在Express.js中伪造吗？

Question

我正在尝试在我的服务器中实施一些反垃圾邮件机制。我需要知道 req.ip 是否可以被 Express.js 中的远程黑客伪造。有人可以和我确认一下吗？

Answer 1

是的，它可以被伪造。 request.ip 从 X-Forwarded-For header 最左边的条目中获取它的值，这可以被伪造。

快递文件： https://expressjs.com/en/api.html#req.ip