如何在 Go 中实现 IP 白名单和黑名单过滤中间件-Golang-PHP中文网

直接用 net.parseip 判断不靠谱，因其无法自动剥离端口、解析代理头或识别私有网段；需先提取可信客户端 ip 并标准化，再结合 net.parsecidr 和 net.ipnet.contains 进行 cidr 匹配。

如何在 go 中实现 ip 白名单和黑名单过滤中间件

为什么直接用 `net.ParseIP` 判断不靠谱

很多初学者会写类似 if ip == "192.168.1.100" { ... } 这样的硬编码判断，但实际部署中 IP 来源复杂：可能带端口（"192.168.1.100:54321"），可能来自反向代理（真实 IP 在 X-Forwarded-For 头里），甚至可能是 IPv6 压缩格式（"::1"）。直接字符串比对会漏掉合法请求或放行恶意地址。

正确做法是先从请求中提取可信客户端 IP，再标准化为 net.IP 类型进行匹配。Go 标准库的 net.ParseIP 能处理 IPv4/IPv6，但不会自动剥离端口或解析代理头——这得自己做。

实操建议：

优先读取 X-Real-IP（Nginx 默认设置）， fallback 到 X-Forwarded-For 的第一个非私有地址，最后才用 r.RemoteAddr
用 strings.Split(r.RemoteAddr, ":")[0] 剥离端口，再传给 net.ParseIP
私有网段（如 10.0.0.0/8、127.0.0.1、::1）不能直接信任，尤其在有代理时

用 `net.IPNet.Contains` 支持 CIDR 白名单

硬编码单个 IP 无法应对子网需求（比如允许整个 192.168.5.0/24 网段）。Go 的 net.IPNet 提供了标准 CIDR 匹配能力，比手写掩码计算更可靠且支持 IPv6。

常见错误是把 CIDR 字符串直接传给 net.ParseIP——它只认纯 IP，不认识 /24。必须用 net.ParseCIDR 解析成 *net.IPNet。

示例代码片段：

// 初始化白名单网段
var whiteNets []*net.IPNet
for _, cidr := range []string{"192.168.5.0/24", "2001:db8::/32"} {
    _, net, err := net.ParseCIDR(cidr)
    if err != nil {
        log.Fatal("invalid CIDR:", cidr)
    }
    whiteNets = append(whiteNets, net)
}

// 中间件中检查
func isInWhitelist(ip net.IP) bool {
    for _, net := range whiteNets {
        if net.Contains(ip) {
            return true
        }
    }
    return false
}

注意：net.Contains 对 IPv4 和 IPv6 地址都有效，但 IPv4 地址传入时需确保是 4 字节格式（net.ParseIP("192.168.1.1") 返回的是 IPv4 格式；而 "::ffff:192.168.1.1" 是 IPv6 映射格式，需用 ip.To4() 或 ip.To16() 统一处理）。

Alibabacloud Sdk Client Initialization For Golang

初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。

下载

黑名单优先于白名单，且需短路判断

安全策略上，黑名单应具有更高优先级：即使一个 IP 同时命中白名单和黑名单（比如配置错误），也必须拒绝。中间件逻辑必须保证「先查黑名单，命中即拒，不再走后续流程」。

另一个易错点是黑名单和白名单共用同一套 CIDR 解析逻辑，但匹配后行为相反。如果顺序写反（比如先白名单放行，再黑名单拦截），会导致漏洞。

推荐结构：

提取并标准化客户端 IP → 得到 clientIP net.IP
遍历黑名单网段，调用 blackNet.Contains(clientIP)，任一匹配立即返回 http.Error(rw, "Forbidden", http.StatusForbidden)
若未被黑名单拒绝，再检查是否在白名单中；不在则拒绝
白名单为空时，应默认拒绝（而非放行），避免配置遗漏导致全放开