用nftables动态集合实现白名单：先创建带dynamic标志和size的ipv4地址集合，再按lo→白名单→established→drop顺序添加规则，支持实时增删ip、超时自动清理及端口限制，运维操作简洁高效。
用 nftables 集合对象实现白名单动态更新，核心不是“频繁改规则”，而是把 IP 列表从规则里抽出来，单独存成可运行时增删的命名集合。这样每次添加或删除 IP，都不触发规则重载，连接不中断、匹配不抖动、性能稳如常数。
用 dynamic 集合承载高频变更
普通 set 不支持运行时修改；必须显式声明 flags dynamic 才能用 nft add element 和 nft delete element 实时操作：
- 创建集合时指定
dynamic和预估容量，避免扩容开销：nft add set inet filter api_whitelist { type ipv4_addr; flags dynamic; size 10000; } -
size是哈希桶数量，不是元素上限，设大些更稳（默认 256，高并发建议 ≥1024） - 若需自动清理，直接加
timeout—— 每个 IP 独立倒计时，到期自动移出
规则位置决定白名单是否真正生效
白名单规则放错位置，会导致新连接绕过检查或已建连接被误断。推荐 INPUT 链顺序如下：
- 先放通本地回环：
nft add rule inet filter input iifname "lo" accept - 紧接白名单匹配：
nft add rule inet filter input ip saddr @api_whitelist accept - 再放行已有连接：
nft add rule inet filter input ct state established,related accept - 最后兜底 drop：
nft add rule inet filter input drop
这个顺序确保：新连接必须命中白名单才被放行；已有连接靠 conntrack 状态维持通行，完全不受集合内容变更影响。
按需叠加端口与协议限制
白名单不是全端口通行证。生产环境应缩小攻击面：
- 只允许白名单 IP 访问特定服务端口：
nft add rule inet filter input ip saddr @api_whitelist tcp dport 8080 accept - 组合多个端口更简洁：
nft add rule inet filter input ip saddr @api_whitelist tcp dport { 22, 443, 8080 } accept - 搭配
ct state new可防止利用已建立连接绕过白名单控制
运维友好：查、加、删、审计一体化
所有操作都是一条命令，且结果即时可见：
- 查看当前有效条目及剩余时间：
nft list set inet filter api_whitelist - 单个或批量添加（支持不同超时）：
nft add element inet filter api_whitelist { 192.168.5.10 timeout 1h, 203.0.113.77 timeout 5m } - 秒级摘除：
nft delete element inet filter api_whitelist { 192.168.5.10 } - 结合
nft monitor events set可监听变更，用于日志归档或同步通知
不复杂但容易忽略
