net/netip 比 net.ip 更适合现代 ip 处理，因其是轻量、不可变、零分配的值类型，避免 nil panic、支持安全 == 比较、内置 isvalid() 验证，且解析与匹配性能更优。
为什么 net/netip 比 net.IP 更适合现代 IP 处理
net/netip 是 Go 1.18 引入的轻量、不可变、零分配的 IP 地址处理包，它解决了 net.IP 的几个关键痛点：比如 nil 切片导致的 panic、地址比较需调用 Equal()、IPv4/IPv6 混用时隐式转换不安全等。net.IP 是切片类型，可变且可能为 nil；而 netip.Addr 是值类型，零值是明确的无效地址（netip.Addr{}），不会 panic，也无需判空。
实际使用中，只要你不依赖 net.IP 的底层字节操作（如直接修改第 4 字节伪造地址），迁移到 netip 几乎没有兼容性代价——而且性能更好，尤其在高并发解析或匹配场景下。
- 解析 IPv4 字符串：
netip.ParseAddr("192.168.1.1")返回netip.Addr，失败则返回零值 + 错误 - 解析 CIDR 前缀：
netip.ParsePrefix("10.0.0.0/8")，返回netip.Prefix - 判断是否包含某地址：
prefix.Contains(addr)—— 安全、无 panic、不依赖切片长度 - 不要用
==比较net.IP，但可以安全地用==比较netip.Addr（因为是可比较的结构体）
如何安全解析和验证用户输入的 IP 或前缀
用户输入不可信，直接用 netip.ParseAddr 或 netip.ParsePrefix 后必须检查错误，否则零值会被当作“合法但无效”的地址继续参与逻辑，容易绕过访问控制。
常见错误现象：netip.ParsePrefix("192.168.1.1") 不报错，但返回 192.168.1.1/32；而 netip.ParsePrefix("192.168.1.1/33") 才会报错 "invalid CIDR prefix"。这意味着仅靠“无错误”不能代表输入符合业务预期（比如你只接受 /24 及更宽的前缀）。
- 对单个地址，用
addr.IsValid()显式判断（netip.Addr{}的IsValid()返回false） - 对前缀，除了
err != nil，还需检查prefix.Bits() >= 8 && prefix.Bits() （IPv4）或 <code>128（IPv6） - 若需限定 IPv4-only，加判断：
!prefix.Addr().Is4()→ 拒绝 IPv6 - 避免用
strings.Contains(input, "/")预判类型——攻击者可输入"::1/128#comment"绕过，应交由ParsePrefix统一处理
如何高效匹配大量 IP 是否落在某个 CIDR 范围内
netip.Prefix.Contains() 是 O(1) 的位运算，比手写掩码计算或用 net.IPNet.Contains() 快且更安全（后者对 IPv6 /128 等边界情况有已知 bug）。但真正影响性能的是「如何组织多个前缀做批量匹配」。
如果你要判断一个地址是否属于任意一个白名单前缀（比如 500 条 CIDR），别用循环调用 prefix.Contains(addr)——虽然单次快，但线性扫描在高 QPS 下会成为瓶颈。
- 用
netipx.IPSet（来自golang.org/x/net/netipx）构建前缀树（IPSet），支持 O(log n) 查找 -
IPSet.AddPrefix()插入前缀，IPSet.Contains(addr)判断归属，自动合并重叠、压缩前缀 - 注意：标准库
net/netip本身不提供集合类型，IPSet是扩展包，需显式引入 - 若前缀数量极少（
与标准库其他组件（如 http.Request.RemoteAddr）交互时的常见坑
http.Request.RemoteAddr 是形如 "192.168.1.1:12345" 的字符串，不是纯 IP；net/http 也不提供现成的 netip.Addr 解析入口。直接传给 netip.ParseAddr() 会失败（因含端口）。
另一个坑是：某些代理（如 Nginx）通过 X-Forwarded-For 传客户端 IP，但该 header 可被伪造，且可能是逗号分隔的多个地址（如 "203.0.113.195, 198.51.100.1"）。你不能无条件取第一个。
- 提取纯 IP：用
net.SplitHostPort()拆分RemoteAddr，再对 host 部分调用netip.ParseAddr() - 处理
X-Forwarded-For：先按逗号分割，对每个段strings.TrimSpace()，再逐个netip.ParseAddr()并IsValid()校验；是否取最左/最右取决于你的信任链配置 - 别把
netip.Addr直接转net.IP（用.AsSlice()）——这会分配内存，破坏零分配优势；除非调用旧接口强制要求net.IP - 日志打印时，用
addr.String()即可，它自动省略 IPv6 的冗余零；不需要自己格式化
真正难的不是解析或匹配，而是搞清数据来源可信度、端口是否该剥离、IPv6 地址要不要归一化（比如 ::1 和 0:0:0:0:0:0:0:1 是等价的，netip.Addr 的 == 已内置标准化，但 String() 输出不同）。
