Express за прокси-серверами

Если true, IP-адрес клиента понимается как самый левый элемент в заголовке X-Forwarded-For.

Если false, приложение понимается как непосредственно взаимодействующее с клиентом, и IP-адрес клиента определяется из req.socket.remoteAddress. Это значение по умолчанию.

IP-адрес, подсеть или массив IP-адресов и подсетей, которым следует доверять как обратным прокси-серверам. Следующий список показывает предварительно настроенные имена подсетей:

• loopback - 127.0.0.1/8, ::1/128
• linklocal - 169.254.0.0/16, fe80::/10
• uniquelocal - 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, fc00::/7

Вы можете задать IP-адреса любым из следующих способов:

app.set('trust proxy', 'loopback') // specify a single subnet
app.set('trust proxy', 'loopback, 123.123.123.123') // specify a subnet and an address
app.set('trust proxy', 'loopback, linklocal, uniquelocal') // specify multiple subnets as CSV
app.set('trust proxy', ['loopback', 'linklocal', 'uniquelocal']) // specify multiple subnets as an array

При указании IP-адресов или подсетей они исключаются из процесса определения адреса, и как IP-адрес клиента определяется ближайший к серверу приложения недоверенный IP-адрес. Это работает путём проверки, является ли req.socket.remoteAddress доверенным. Если да, то каждый адрес в X-Forwarded-For проверяется справа налево до первого недоверенного адреса.

Используется адрес, который находится не более чем на n переходах от приложения Express. req.socket.remoteAddress — это первый переход, а остальные ищутся в заголовке X-Forwarded-For справа налево. Значение 0 означает, что первый недоверенный адрес будет req.socket.remoteAddress, т. е. обратного прокси-сервера нет.

Пользовательская реализация доверия.

app.set('trust proxy', (ip) => {
  if (ip === '127.0.0.1' || ip === '123.123.123.123') return true // trusted IPs
  else return false
})