i browser proteggono l'indirizzo IP degli utenti?

127.255.255.255 è una trasmissione dal tuo server interno (loopback)

Se sei sicuro che si tratti di un utente esterno, dovresti controllare code injection possibilità sul tuo sito.