Node 服务放在 Cloudflare Worker 后面时限频按 IP 全部命中同一个地址（Cloudflare 边缘 IP）

Problem

用 Worker 把流量代理到源站后，源站看到的 socket.remoteAddress 是 Cloudflare 边缘节点，按 IP 的限频、封禁、审计全失效。

Error (redacted / normalized)

(所有用户被同一个限频桶拦截，日志里 remote address 全是 172.x / 104.x 的 Cloudflare 地址)

Applies when

Cloudflare Worker fetch() 到源站 nginx/Node；源站用 socket.remoteAddress 识别客户端

Confirm it is this problem

源站日志里连续请求的客户端地址都落在 Cloudflare 网段（curl -s https://www.cloudflare.com/ips-v4）→ expect: 全是边缘 IP。

Not this when / boundary

如果源站直接暴露公网且也有真实 IP 访问，别无条件信任 X-Real-IP——只在来源是 Cloudflare 网段时才读。

Root cause

Worker 发起的子请求源 IP 是 Cloudflare 的；真实客户端 IP 只在 Worker 收到的请求头 CF-Connecting-IP 里。

Fix

1. Worker 里把 request.headers.get('CF-Connecting-IP') 转发为 X-Real-IP，并删除客户端自带的 X-Real-IP/X-Forwarded-For。
2. 源站 nginx 只允许 Cloudflare IP 段访问（allow 列表 + deny all），防止有人直连伪造头。
3. 应用在 TRUST_PROXY 打开时才读 X-Real-IP，否则用 remoteAddress。

How to verify

源站日志里的客户端 IP 变成各不相同的真实地址；直连源站 IP 返回 403。

What did not work

读 X-Forwarded-For 第一段（客户端可伪造）；在 Worker 外层改 nginx real_ip 模块但没限制来源。

Risks

allow 列表要随 Cloudflare 公布的 IP 段更新。

Verified scope

Cloudflare Workers + nginx，2026-10