在VPN设置中信任request.remote_addr是否安全

Question

我有一个VPN设置，客户端使用预共享证书进行身份验证。我希望这些客户端使用我在烧瓶中写的http api，但是我需要它们首先进行身份验证以从数据库中返回正确的数据。

使用request.remote_addr或request.environ [＆＃39; REMOTE_ADDR＆＃39;]来识别用户，因为我知道VPN配置中每个客户端的IP地址，是否安全？

e.g。

user = select_user(request.remote_addr)

其中select_user（IP）将VPN客户端映射到IP地址。

Answer 1

REMOTE_ADDR将始终是TCP连接发射器的IP，无法为潜在的攻击者（代理除外）修改它。但是，如果有人可以访问您的某个用户的网络（因为他们将拥有有效的IP），则存在漏洞。因此，如果您真的可以信任您的用户个人网络安全，那么它是安全的，否则没有。