# 审计 — 2026-06-07 登录客户端 IP 反代识别

| 文件 | 变更要点 |
|------|----------|
| `server/utils/client_ip.py` | 可信反代跳读取 X-Real-IP / XFF 末段 |
| `server/api/auth.py` | login/refresh/change_password 用 get_client_ip |
| `tests/test_client_ip.py` | 单测 |
| `deploy/gate_log.jsonl` | 门控记录 |

## Step 3

| H | 结论 |
|---|------|
| H1 | 公网直连忽略伪造 X-Real-IP | PASS |
| H2 | 172.18.0.1 仅在内网跳信任转发头 | PASS |

Step3✓ Closure✓ DoD✓
