真实 IP 一直在，只是没人用：一个点不动的开关，牵出一个 IP 伪造漏洞

文章排查了中转站启用 Passkey 后的连锁问题：Passkey 同时受 config.yaml 的 WebAuthn 安全配置和数据库运行开关控制，前者必须正确填写 RP ID 与 HTTPS Origin，后者显式为 false 时不会自动开启。登录即掉线源于会话 IP/UA 绑定，而 ESA 回源 IP 每请求变化，触发会话家族撤销。进一步发现 nginx 未还原真实 IP、应用优先信任可伪造的 CF-Connecting-IP，导致审计、限流和 IP 白名单失真并可被绕过。修复包括配置 ESA 官方网段、使用其真实 IP 头、覆盖转发头并限制源站访问；历史 1687 条审计记录中 1681 条 IP 不真实。