アプリはX-Forwarded-Forで接続元を記録する。インターネットから直接送られたヘッダも無条件に信用していた。改善として適切なものはどれか。

クライアントがその位置を偽装できる場合があり、信頼するプロキシ境界を定める必要がある。

形式が正しいことと、主張されたIPが本当の接続元かは別である。

通信の保護は、利用者が任意に設定する値の真実性を保証しない。