Гормональный holywar Админа и Разраба PHP или REMOTE_ADDR vs HTTP_X_FORWARDED_FOR

Вот что случается, когда технари берутся решать юридические вопросы.
По порядку:
1) любой способ установить страну пользователя в протоколе http по встроенным в него механизмам — это неправильно. Используется это только как предположение возможной страны для удобства в вебинтерфейсах (предложить пользователю сразу нужный язык сайта).
2) использовать полученную таким образом региональную принадлежность для ограничения доступа — неправильно. Все можно подделать и на практике подделывают.
3) с самого начала нужно было разобраться вашему юристу в вопросе штрафов за факты показа контента в не тех регионах. Единственный способ работать по такой схеме — это указать в договоре что техническими средствами в сети интернет однозначно и безошибочно определить страну клиента невозможно, и все технические ограничения не являются 100% превентивными мерами. И нести финансовую ответственность за случаи нерегулированного показа контента разработчик не может.

Хочу держать всех в курсе и заявить: я всей душой ненавижу слово «разраб».

тыц phpfaq.ru/ip
Админ связку nginx+apache настроить не может нормально.
Собственно вот готовое решение
www.linux.org.ru/forum/admin/7441791

Должны совпадать IP в RPAFproxy_ips и в интерфейсах, которые слушает апач — тут лучше везде ставить строго 127...1
Если вам еще нужен X-Forwarded-For то просто в конфигах юзаются X-Real-IP или любой другой хедер

блин, у вас fpm
fastcgi_param SERVER_ADDR $server_addr;
и все, извращенци

Можно проверять ВСЕ ip адреса на принадлежность к региону за исключением локальных. Если хотя бы один из них из неугодного региона, то фильтровать.
И не будет никакой заморочки первый, последний ip в цепочке или какую там переменную использовать…

Напишите плиз окончательную рабочую функцию?

Вот почему хорошо пользоваться готовыми решениями и знать, что и как они умеют.
Symfony Request

     const HEADER_CLIENT_IP = 'client_ip';
     protected static $trustedHeaders = array(
        self::HEADER_CLIENT_IP    => 'X_FORWARDED_FOR',
        self::HEADER_CLIENT_HOST  => 'X_FORWARDED_HOST',
        self::HEADER_CLIENT_PROTO => 'X_FORWARDED_PROTO',
        self::HEADER_CLIENT_PORT  => 'X_FORWARDED_PORT',
    );
    public function getClientIp()
    {
        $ip = $this->server->get('REMOTE_ADDR');

        if (!self::$trustProxy) {
            return $ip;
        }

        if (!self::$trustedHeaders[self::HEADER_CLIENT_IP] || !$this->headers->has(self::$trustedHeaders[self::HEADER_CLIENT_IP])) {
            return $ip;
        }

        $clientIps = array_map('trim', explode(',', $this->headers->get(self::$trustedHeaders[self::HEADER_CLIENT_IP])));
        $clientIps[] = $ip;

        $trustedProxies = self::$trustProxy && !self::$trustedProxies ? array($ip) : self::$trustedProxies;
        $clientIps = array_diff($clientIps, $trustedProxies);

        return array_pop($clientIps);
    }

Эта статья неграмотна от первого слова до последнего. Вместо того, чтобы гадать на кофейной гуще, и определять назначение HTTP-заголовков через анализатор трафика, надо читать спецификации и руководства. Вместо того, чтобы разобраться в проблеме, автор скопипастил код какого-то индуса, он у него сломался, и теперь автор предлагает всем так же бездумно скопипастить его код аналогичного качества.

> и весь этот код рухнул от того, что в HTTP_X_FORWARDED_FOR пришёл не один адрес, а список адресов через запятую (что строго говоря законно, допустимо, и даже не регламентировано в доке по php

Искать описание HTTP-заголовков в мануале по PHP? Автор, вы про HTTP и про то, как работает сервер, хотя бы в википедии почитайте что ли.

Ваши администраторы, впрочем, не намного лучше разработчиков, если они не могут нгинкс настроить или модуль к нему скомпилировать.

Насчет определения страны — естественно, заголовкам, пришедним снаружи, доверять нельзя, в них может быть что угодно. например, расширение для браузера може подставлять любой X-Http-Forwarded-For. Потому стоит их игнорировать. Однако, если наша цель — банить по IP, то брать IP из этих заголовков вполне можно.

Логично было бы собирать все IP (а не один) из всех заголовков и если хоть один относится к запрещенной стране — банить запрос. Таким образом, люди использующие неанонимные прокси, останутся без видео.

Спрашивается, почему не использовали стандартный geoip модуль nginx-а, зачем было на php всё городить вообще?

И дабы не писать свой велосипед, нагуглил на stackoverflow

Примерно такой же код использовал когда-то PhpMyAdmin (пруф). Но как по мне, этот код просто ужасен. Поэтому я в свое время все-таки написал свой велосипед https://gist.github.com/AgelxNash/4943199.