反向代理

反向代理必须覆盖写入真实客户端 IP，HubProxy 才能按用户独立限流并防止 IP 伪造。

Caddy

基础反代

example.com {
    reverse_proxy 127.0.0.1:5000 {
        header_up X-Real-IP {remote}
        header_up X-Forwarded-For {remote}
        header_up X-Forwarded-Proto {scheme}
        header_up X-Forwarded-Host {host}
    }
}

Cloudflare CDN

example.com {
    reverse_proxy 127.0.0.1:5000 {
        header_up X-Forwarded-For {http.request.header.CF-Connecting-IP}
        header_up X-Real-IP {http.request.header.CF-Connecting-IP}
        header_up X-Forwarded-Proto https
        header_up X-Forwarded-Host {host}
    }
}

Nginx

警告

避免使用 proxy_add_x_forwarded_for，它会 append 客户端自带的 X-Forwarded-For，可能导致 IP 解析错误。

location / {
    proxy_pass http://127.0.0.1:5000;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;
}

GitHub 加速提示「无效输入」

若使用 Nginx 反代后 GitHub 加速异常，请参考 issue #62 检查 proxy_set_header Host 等配置。

工作原理

HubProxy 仅当 TCP 连接来自可信私网/本机网段时，才信任转发头：

• 127.0.0.0/8
• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16

详见 IP 信任机制。