针对互联网地理定位易被篡改导致身份冒充与服务滥用的问题，文章提出通过客户端在场验证与服务端位置验证两项实时核验技术，覆盖 VPN、匿名化工具等多种 IP 隐藏手段，为位置敏感业务提供可信地理定位基础。
现有定位机制与局限：
目前主流定位依赖客户端 IP 地址或手持设备 GPS 坐标。Web 应用通过 W3C Geolocation API 调用浏览器获取位置，浏览器按优先级尝试 GPS、WiFi 定位系统（WPS）、IP 地址查找、基站三角测量等方法。IP 地址地理信息来源于公开路由数据、Whois 注册库及厂商维护的查找表，Flagfox 等扩展即据此显示服务器所属经济体旗帜。但这些技术均不抗篡改：服务器直接信任浏览器上报坐标，而浏览器端数据极易伪造。
客户端在场验证与服务端位置验证：
为解决上述信任缺口，文章引入两类实时验证技术。客户端在场验证针对浏览器等客户端，服务端位置验证面向远程服务器。两者均旨在实时核实地理位置，抵御包括 VPN、匿名化服务在内的广泛 IP 隐藏战术。服务端定位对数据主权等关键交易尤为重要，可提供更高身份保证；客户端定位则支撑位置感知认证、访问控制、在线投票、社交网络及欺诈减少等场景。原文未给出具体部署数据与性能指标。
操作层面的取舍与工程启示：
现有静态 IP 查找表虽更新滞后，对良性服务端定位尚可接受，但无法应对主动伪造。引入实时验证需在延迟、部署复杂度与覆盖范围间权衡：客户端验证依赖浏览器 API 与多源定位融合，服务端验证需结合路由层证据。工程师需评估业务对位置可信度的阈值，决定是否在认证链路中接入实时验证模块，而非单纯依赖前端上报坐标。
对运维与网络工程师而言，核心启示是地理定位不可盲信前端数据，需在关键业务路径部署独立验证层。理解两类验证技术的适用边界与部署成本，有助于在数据主权合规、版权内容分发、欺诈风控等场景构建可信赖的位置感知体系。
原文: APNIC Blog（2018-05-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog