安全提取真实客户端ip需先校验req.remoteaddr是否属可信代理网段，再解析x-forwarded-for中首个非私有ip，否则fallback至x-real-ip或直连ip；所有ip须经net.parseip校验，网段匹配必须用net.ipnet.contains而非字符串前缀。
Go 里做 IP 拦截，核心不是写中间件，而是搞清三件事：从哪取真实 IP、怎么解析网段、怎么查得又准又快。直接用 r.RemoteAddr 或字符串匹配，上线就失效。
怎么安全提取真实客户端 IP
你拿到的几乎从来不是用户真实出口 IP，而是代理（Nginx / Cloudflare / ALB）的内网地址或带端口的字符串。错误地信任 X-Forwarded-For 还可能被伪造绕过。
- 只信任你可控的最外层代理发来的请求：比如 Nginx 配置了
proxy_set_header X-Real-IP $remote_addr，就读r.Header.Get("X-Real-IP") - 多层代理（如 Cloudflare + 自家 Nginx）时，读
X-Forwarded-For，用strings.Split(r.Header.Get("X-Forwarded-For"), ",")[0]取最左 IP，但前提是该请求来源 IP 在你预设的可信代理网段内（如"10.0.0.0/8"） - 提取后必须用
net.ParseIP解析；失败就拒绝，别 fallback 到默认值 - 对
r.RemoteAddr做兜底时，先用net.SplitHostPort安全拆解，再net.ParseIP，否则 IPv6 地址（如[2001:db8::1]:8080）会 panic
为什么不能用 strings.HasPrefix 匹配 CIDR 网段
字符串前缀匹配在 IPv6 下完全不可靠："2001:db8::1" 属于 "2001:db8::/32"，但 strings.HasPrefix("2001:db8::1", "2001:db8::") 返回 true；而 "2001:db8:1::1" 不属于该网段，却也可能被误判匹配。
- 正确做法是统一用
net.ParseCIDR解析白名单/黑名单配置项；失败则 fallback 到net.ParseIP并构造/32（IPv4）或/128（IPv6）子网 - 解析后存为
[]*net.IPNet，运行时调用ipnet.Contains(ip)——它自动处理 IPv4-mapped IPv6（如::ffff:192.168.1.1）和掩码对齐 - 注意
net.IPNet.Contains对 IPv4 和 IPv6 严格区分：一个/24的 IPv4 网段不会匹配 IPv6 地址，测试时别混用127.0.0.1和::1
黑白名单逻辑优先级与性能瓶颈在哪
一个 IP 可能同时命中多个网段（比如 "192.168.1.5" 同时在 "192.168.1.0/24" 和 "192.168.0.0/16"），此时“黑名单优先”还是“白名单优先”必须显式定义，否则行为不可控。
- 建议策略：白名单显式放行 → 黑名单显式拦截 → 其余拒绝。避免“不在白名单就拦”，也避免“不在黑名单就放”
- 条目少于 100 条时，遍历
[]*net.IPNet性能足够；超过 1000 条且 QPS 高，线性扫描会成瓶颈 - 万级规则需换数据结构：用
github.com/zmap/zlint/v3/iputil的 CIDR trie，或预构建 bitmap（如github.com/yl2chen/cidranger） - 别把配置文件里的字符串在每次请求中重复解析；启动时预解析并缓存
*net.IPNet切片
测试 IsAllowedIP 函数时最容易漏掉什么
单元测试写完跑通，一上生产就出问题，大概率是测试没覆盖真实链路中的 IP 格式转换环节。
- 测试函数
IsAllowedIP(ipStr string, whiteNets, blackNets []*net.IPNet) (bool, error)，只传入标准格式字符串（如"192.168.1.100"、"2001:db8::1"），不传带端口的"192.168.1.100:8080" - 测试用例必须包含私有地址（
"10.0.0.1"）、回环（"127.0.0.1"、"::1"）、IPv6 mapped 地址（"::ffff:192.168.1.1"）——它们常被误放行 - 用
httptest.NewRequest模拟完整请求链路时，手动设置X-Forwarded-For头，并验证中间件是否按预期跳过私有地址校验 - 别在测试里调用
net.ParseIP(r.RemoteAddr)；解析逻辑应前置到测试 setup 中，保持被测函数纯正
真正难的不是写代码，是厘清部署拓扑里谁加了哪个 header、谁可信、谁不可信。同一套代码，在直连开发环境和 Nginx + Cloudflare 生产环境，真实 IP 提取逻辑可能完全不同。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
