nginx proxy_set_header X-Forwarded-For with allow / deny something wrong

Question

Nginx的conf：

location / {
    deny 192.168.1.1;
    allow 127.0.0.1/24;
    deny all;
    default_type application/json;
}

如果我请求http://192.168.1.101:8000没有标题，则nginx返回403。

如果我使用集header[" X-Forwarded-For "] = 127.0.0.1请求http://192.168.1.101:8000，则nginx返回200。

那我怎么能否认非法的IP请求？