原因:可能被伪造ip/**
* 获取客户端IP地址
* @param integer $type 返回类型 0 返回IP地址 1 返回IPV4地址数字
* @return mixed
*/
function get_client_ip($type = 0) {
$type = $type ? 1 : 0;
static $ip = NULL;
if ($ip !== NULL) return $ip[$type];
if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$arr = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
$pos = array_search('unknown',$arr);
if(false !== $pos) unset($arr[$pos]);
$ip = trim($arr[0]);
}elseif (isset($_SERVER['HTTP_CLIENT_IP'])) {
$ip = $_SERVER['HTTP_CLIENT_IP'];
}elseif (isset($_SERVER['REMOTE_ADDR'])) {
$ip = $_SERVER['REMOTE_ADDR'];
}
// IP地址合法验证
$long = sprintf("%u",ip2long($ip));
$ip = $long ? array($ip, $long) : array('0.0.0.0', 0);
return $ip[$type];
}源代码如此,通过HTTP_X_FORWARDED_FOR可以获取到代理背后的真实IP,但是也有一个隐患,那就是用户可能通过伪造的头来改变HTTP_X_FORWARDED_FOR,而REMOTE_ADDR 是无法伪造的吧?
也就是说,用REMOTE_ADDR 虽然可能会有少部分用户通过切换代理IP来刷票,但是我觉得还是比HTTP_X_FORWARDED_FOR安全。
那怎么才能保证不被人恶意刷票呢?
将两种IP都获取到,另外设置个cookie,只要其中有一个重复或者cookie存在就无效,麻烦了些,不知道有没有更好的办法。

最佳答案

评论() 相关

收藏

赞

zstxt1989

ThinkPHP 是一个免费开源的,快速、简单的面向对象的 轻量级PHP开发框架 ,创立于2006年初,遵循Apache2开源协议发布,是为了敏捷WEB应用开发和简化企业应用开发而诞生的。ThinkPHP从诞生以来一直秉承简洁实用的设计原则,在保持出色的性能和至简的代码的同时,也注重易用性。并且拥有众多的原创功能和特性,在社区团队的积极参与下,在易用性、扩展性和性能方面不断优化和改进,已经成长为国内最领先和最具影响力的WEB应用开发框架,众多的典型案例确保可以稳定用于商业以及门户级的开发。