GitHub 安全公告库 (GHSA)·· 4 小时前精选AI 评分58
chi 中间件 ClientIPFromXFF 因 X-Forwarded-For 可伪造客户端 IP
chi: Client IP spoofing in ClientIPFromXFF via X-Forwarded-For
AI 导读
Go 的 chi 路由库中间件 ClientIPFromXFF 在解析 X-Forwarded-For 时只跳过匹配可信 CIDR 的条目，却不校验 http.Request.RemoteAddr 中的直连对端是否属于该 CIDR，能直连源站的客户端可追加一个可信代理地址来指定 GetClientIP 返回的客户端 IP。
为什么值得看
披露者给出可运行的 Go 复现程序与 curl 对照结果，说明信任边界只校验请求头而不校验直连对端会带来什么后果。
来源：GitHub 安全公告库 (GHSA) · github.com