Express.js 中的 req.ip 可以伪造吗？

Question

我正在尝试在我的服务器中实施一些反垃圾邮件机制。我需要知道 req.ip 是否可以被远程黑客在 Express.js 中伪造。有人可以跟我确认一下吗？

Answer 1

是的，它可以被伪造。request.ip从 X-Forwarded-For 标头最左边的条目获取它的值，该值可以伪造。

Express 文档： https: //expressjs.com/en/api.html#req.ip