HTTP协议中使用X-Forwarded-For来伪造IP

HTTP协议中，定义了这么一个HTTP头：X-Forwarded-For

这个选项主要是用在非匿名的代理服务器发出的请求中，使用这个名称来告诉服务器，真实的请求是谁提出来的，在实际HTTP会话中并没有任何影响，只不过是一个提示罢了。不过貌似很多投票系统的设计有漏洞，会把这个参数中定义的地址直接设置为来源地址，从而达到自定义伪造任何IP投票的目的。

如果是投票站为了防止刷票，还是检查HTTP_CLIENT_IP吧，不过这样一来好像又可以用代理刷票了，呵呵，挺蛋疼的，特别是假如木有验证码的话。