理解“防护清洗与真实源地址”时，先分清它能说明什么、不能说明什么。下面给出核心概念、判断边界与实际核验方向。
核心概念
接入代理或清洗后，源站可能只看到防护节点地址，真实客户 IP 需要受信任的传递机制。
容易混淆的地方
盲目信任任意 X-Forwarded-For 会让客户伪造 IP，影响限流和审计。
如何结合实际场景判断
代理头和 PROXY protocol 不是同一种协议，接收端必须匹配。 经代理访问时日志记录真实客户端，直接伪造同名头不能覆盖日志中的源地址。
环境与操作范围
线路结论需要注明用户地域、运营商、测量时段与协议。同一机房的不同路径可能表现不同，优先保存可复现的终点测量及业务结果。
