代理之后，日志里的 IP 为什么全一样？

应用只能直接看到与它建连的那个代理地址。转发头可以携带原始来源，但这项信息必须由可信代理建立，应用也只能信任已定义的代理链。

先明确这里的区别

代理后的应用看到的连接来源可能是代理，需要在可信边界内传递原始来源。

域名 example.com 仅用于说明，核查自己的网站时请替换目标地址。

X-Forwarded-For: 192.0.2.10

在代理和应用日志中对照同一次请求。

先清楚画出代理层数，再确定各层如何追加或覆盖头部。在最外层直接接收公网流量时，通常要覆盖不可信的客户端来源声明。

请求标识与来源地址承担不同职责。前者帮助关联一次请求经过各层的记录，后者帮助判断访问来源。把两者结合起来，比仅凭相同 IP 推断几条日志属于同一请求更可靠。

需要留意的是，直接信任公网客户端提供的转发头会导致来源地址可伪造。

参考：HTTP 文档。