真实 IP 一直在，只是没人用：一个点不动的开关，牵出一个 IP 伪造漏洞
文章探讨了Passkey启用后引发的安全问题，包括会话IP/UA绑定导致掉线、nginx未还原真实IP、应用信任可伪造的CF-Connecting-IP等漏洞，导致审计、限流和IP白名单失真并可被绕过。修复方案包括配置ESA官方网段、使用真实IP头、覆盖转发头并限制源站访问。
博客雷达不转载正文。这里只有标题、作者、时间和一小段 AI 生成的摘要；全文在作者自己的站点上，阅读请点上面的按钮过去——文章的版权一直在原作者手里。
你也在写博客？做一张「已被博客雷达收录」的徽章挂回自己的站，想挂就挂，也不占首页。