В сложной инфраструктуре запрос идёт через балансировщик, CDN и несколько прокси. Если доверять заголовку X-Forwarded-For без ограничений, клиент сможет подставить свой IP и повлиять на журналирование, лимиты запросов и правила доступа.
Заголовок легко подделать на прямых запросах, доверять нужно только адресу от доверенного прокси. Без этого фильтрация по IP превращается в формальность.
Полная статья: https://clck.su/QLJXN
ВКонтакте
MAX