req.ip可以在Express.js中伪造吗？

Question

我正在尝试在服务器中实施一些反垃圾邮件机制。我需要知道Express.js中的远程黑客是否可以伪造req.ip。有人可以跟我确认一下吗？

Answer 1

是的，它可以被伪造。 request.ip从X-Forwarded-For标头的最左侧条目中获取其值，该伪造品可以伪造。

快速文档： https://expressjs.com/en/api.html#req.ip