原来 Google 也不做 XFF 是否伪造的识别

[drymonfidelia]

今天发现 yt-dlp 不用日本代理也能下载日本地区 exclusive 的视频，想到两种可能，一种是这是纯前端限制，一种是 yt-dlp 内置了代理池，上 github 看代码看看能不能利用一下。结果是第三种原因，yt-dlp 直接伪造了 X-Forwarded-For 请求头就通过了 IP 限制

[wzhpro]

这个怎么识别？

[drymonfidelia]

@wzhpro 在边缘节点把用户提供的 XFF 清空

[ospider]

可能 Google 自己都不愿意限制这种东西，所以只是象征性的做一下……

[wzhpro]

@drymonfidelia
如果是真实的 XFF 怎么办？

[drymonfidelia]

@wzhpro 边缘节点以外的 XFF 没用

[wzhpro]

@drymonfidelia 不一定，有一些大公司、或是运营商，网络里面的用户会用代理的方式上网，还有一些合法的网络加速服务