解决宝塔面板本身加CDN后识别不到源IP的脚本

起因是我用CDN+雷池+lukcy反代了宝塔面板，宝塔面板只能识别到我的lucky IP，识别不到源IP，但是PHP项目那里打开“cdn来源IP解析”以后，网站能识别成功。经询问客服，客服说这个无解。

所以造成我现在网站能识别到源IP，但是宝塔面板本身登录时一直提示是内网IP登录的，所有人只要知道我的面板安全入口，就能顺利进入面板尝试登录。



经过询问AI，得知是宝塔后端/www/server/panel/class/public.py中的GetClientIp()这个只是获取X-forwarded-ip的[-1]也就是最后一个IP，得到的是我的lucky IP，导致的问题



把他改成0就可以了，即可获取XFF最左边的IP，当然也可以自定义改成自己cdn的header，因为XFF毕竟有伪造风险。

代码附上：

1. #!/bin/bash
   
2. # ============================================================
   
3. # 宝塔面板 真实IP 自动修复脚本
   
4. # 适用: 宝塔 11.x + 反向代理(含CDN等代理层)环境
   
5. # 背景: 宝塔升级会覆盖 /www/server/panel/class/public.py,
   
6. #       导致 GetClientIp() 变回取 X-Forwarded-For 最后一个IP(上层代理IP)。
   
7. #       本脚本自动检测并修复为取第一个(真实客户端)IP,然后重启面板。
   
8. # 用法: bash bt_panel_realip_patch.sh
   
9. # ============================================================
   
10. 
    
11. set -u
    
12. 
    
13. PUBLIC_PY="/www/server/panel/class/public.py"
    
14. BACKUP_DIR="/root/bt_patch_backup"
    
15. LOG="/var/log/bt_realip_patch.log"
    
16. 
    
17. # 优先用面板自带 python 编译,避免 .pyc 版本不一致
    
18. BT_PYTHON="$(ls /www/server/panel/pyenv/bin/python 2>/dev/null)"
    
19. [ -z "$BT_PYTHON" ] && BT_PYTHON="$(command -v python3 || command -v python)"
    
20. 
    
21. log() { echo "[$(date '+%F %T')] $*" | tee -a "$LOG"; }
    
22. 
    
23. if [ ! -f "$PUBLIC_PY" ]; then
    
24.     log "ERROR: 找不到 $PUBLIC_PY,请确认本机已安装宝塔面板"
    
25.     exit 1
    
26. fi
    
27. 
    
28. # 已经修复(文件里没有 forwarded_ips[-1])则静默退出,不写任何日志
    
29. # 这样定时任务每天跑,在不需要处理时不会在日志里产生任何输出
    
30. if ! grep -q "forwarded_ips\[-1\]" "$PUBLIC_PY"; then
    
31.     exit 0
    
32. fi
    
33. 
    
34. log "检测到未修复代码,开始打补丁..."
    
35. 
    
36. # 备份原文件
    
37. mkdir -p "$BACKUP_DIR"
    
38. cp -p "$PUBLIC_PY" "$BACKUP_DIR/public.py.$(date '+%F_%H-%M-%S')"
    
39. log "已备份原文件到 $BACKUP_DIR"
    
40. 
    
41. # 精确替换 GetClientIp 内的 forwarded_ips[-1] -> forwarded_ips[0]
    
42. "$BT_PYTHON" - "$PUBLIC_PY" <<'PYEOF'
    
43. import sys
    
44. path = sys.argv[1]
    
45. with open(path, 'r', encoding='utf-8') as f:
    
46.     src = f.read()
    
47. old = "real_ipaddr = forwarded_ips[-1]"
    
48. new = "real_ipaddr = forwarded_ips[0]"
    
49. if old in src:
    
50.     src = src.replace(old, new)
    
51.     with open(path, 'w', encoding='utf-8') as f:
    
52.         f.write(src)
    
53.     print("PATCHED")
    
54. else:
    
55.     print("NO_MATCH")
    
56. PYEOF
    
57. 
    
58. # 校验:下面 grep 的 forwarded_ips\[0\] 是"字面字符串"匹配(确认文件里有已修补的代码文本),
    
59. # 不是判断列表长度是否为0。只有本脚本真正打过补丁时才会执行到这里。
    
60. if grep -q "forwarded_ips\[0\]" "$PUBLIC_PY"; then
    
61.     log "补丁写入成功"
    
62.     if "$BT_PYTHON" -m py_compile "$PUBLIC_PY" 2>>"$LOG"; then
    
63.         log "语法检查通过"
    
64.     else
    
65.         log "WARN: 语法检查未通过,请手动检查"
    
66.     fi
    
67.     if bt restart >>"$LOG" 2>&1; then
    
68.         log "面板已重启,真实IP修复生效"
    
69.     else
    
70.         log "WARN: bt restart 执行失败,请手动重启面板"
    
71.     fi
    
72. else
    
73.     log "ERROR: 补丁未生效,请手动检查 $PUBLIC_PY"
    
74.     exit 1
    
75. fi

复制代码

可以加入定时任务，具体使用方法参考：

1. https://github.com/JogoLeo/bt-realip-patch

复制代码