golang如何实现IP黑白名单_golang IP黑白名单实现实践-Golang-PHP中文网

最常用方法是用 net.ipnet.contains 判断 ip 是否在网段内，需先用 net.parseip 解析 ip、net.parsecidr 解析 cidr，注意 ipv4/ipv6 归一化及真实 ip 提取（如 x-forwarded-for），避免字符串匹配错误。

golang如何实现ip黑白名单_golang ip黑白名单实现实践

用 net.IPNet 判断 IP 是否在网段内（最常用场景）

Go 标准库没有现成的“IP 黑白名单中间件”，但核心逻辑就落在 net.IPNet.Contains 上。它支持 IPv4 和 IPv6，且能正确处理 CIDR 表示的网段（如 "192.168.1.0/24" 或 "2001:db8::/32"），比字符串前缀匹配或正则更可靠。

常见错误是直接用 strings.HasPrefix 去比对 IP 字符串，这在 IPv6 下极易出错（比如 "2001:db8::1" 不属于 "2001:db8::/64" 却可能被误判匹配）；或者忽略 IPv4-mapped IPv6 地址（::ffff:192.168.1.1）的归一化处理。

实操建议：

Golang Uber Dig

使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等

下载

接收客户端 IP 时，先用 net.ParseIP 解析，再调用 .To4() 或 .To16() 统一格式，避免因格式不一致导致 Contains 返回 false
预加载黑白名单时，把每个 CIDR 字符串用 net.ParseCIDR 解析为 *net.IPNet，缓存起来，别每次请求都解析
注意：一个 IP 可能同时匹配多个网段，黑白名单逻辑需明确定义优先级（例如“黑名单优先”还是“白名单优先”）

HTTP 中间件里快速拦截非法 IP（gin / echo / net/http）

在 Web 框架中做 IP 拦截，关键不是“怎么写中间件”，而是“从哪取真实 IP”。直接读 r.RemoteAddr 只能得到下游代理地址，不是用户真实 IP。

实操建议：

优先信任 X-Forwarded-For 头第一个非私有 IP（需结合你自己的反向代理配置判断可信跳数），并用 net.ParseIP 解析后校验是否为有效 IP
务必校验 IP 是否为私有地址（127.0.0.0/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、fd00::/8 等），防止伪造头绕过

示例逻辑片段：

ip := parseRealIP(r)
for _, white := range whiteNets {
    if white.Contains(ip) {
        return next(rw, r) // 放行
    }
}
http.Error(rw, "Forbidden", http.StatusForbidden)

高性能黑白名单需用 trie 或 bitmap（万级规则以上）

当黑白名单条目超过几千条，且每秒请求数很高时，遍历 []*net.IPNet 的 O(n) 查找会成为瓶颈。此时标准库的线性扫描不够用。

实操建议：

IPv4 场景下，可用 github.com/cilium/ipam 或轻量级 github.com/tomasen/realip 的辅助结构，但更推荐自己用 uint32 bitmap + 前缀长度分桶（/24 网段可映射到数组索引）
IPv4/IPv6 统一场景，用 github.com/google/gopacket/routing 的路由表结构，或封装 golang.org/x/net/ipv4 的查找逻辑
切忌在高并发路径上做 fmt.Sprintf、strings.Split 或新建 net.IPNet 实例——这些分配会触发 GC 压力