Request::ip() 默认返回代理IP而非真实IP，需正确配置TrustProxies中间件及$proxies、$headers才能解析X-Forwarded-For获取真实IP，手动读取$_SERVER存在安全风险。
Request::ip() 返回的是代理IP而不是真实IP
直接调用 Request::ip() 或 $request->ip() 在有 Nginx、Cloudflare、CDN 或负载均衡的环境下，通常拿到的是最后一层代理（比如 Nginx）的 IP，而非用户真实出口 IP。这是因为 HTTP 请求头中的 X-Forwarded-For 才可能携带原始客户端 IP，而 Laravel 默认不信任这些头字段。
必须配置 trusted proxies 才能解析真实 IP
Laravel 的 IP 解析逻辑依赖 TrustedProxy 中间件是否启用，以及 App\Http\Middleware\TrustProxies 中的 $proxies 和 $headers 配置。没配对的话，Request::ip() 就不会去读 X-Forwarded-For。
- 如果服务器直连用户（无任何代理），保持
$proxies = null即可，Request::ip()是准确的 - 如果有 Nginx 反代，把 Nginx 服务器 IP 加到
$proxies = ['127.0.0.1', '192.168.1.10']；或设为'*'（仅限内网可信环境） - 若使用 Cloudflare，需设置
$headers = Request::HEADER_X_FORWARDED_FOR | Request::HEADER_X_FORWARDED_HOST | Request::HEADER_X_FORWARDED_PORT | Request::HEADER_X_FORWARDED_PROTO;，并把 Cloudflare 的 IP 段加入$proxies（或改用Cloudflare Trusted Proxy包） - 注意：Laravel 5.5+ 默认启用
TrustProxies中间件，但$proxies默认是null，等于没生效
获取真实 IP 的安全写法不是靠 $_SERVER
别手动读 $_SERVER['HTTP_X_FORWARDED_FOR'] 或拼接字符串——这容易被伪造、绕过校验、导致 IP 欺骗。Laravel 的 Request::ip() 在正确配置 TrustProxies 后，内部已做了头字段校验和多级解析（取最左非受信代理 IP），比手写更可靠。
