用 channel + goroutine 做 ip 过滤更慢是因为百万级连接下 goroutine 创建开销、channel 阻塞排队和 gc 压力叠加导致调度器过载；正确做法是拆分热路径（sync.map.load 无锁判断）与冷路径（loadorstore/atomic 更新），并用 int64 编码窗口时间与计数实现无锁频控。
为什么用 channel + goroutine 做 IP 过滤反而更慢？
直接为每个连接启一个 goroutine 走 filterIP()，再用 select 等 channel 返回结果——这种写法看着并发，实际在百万级连接下会压垮调度器。goroutine 创建开销、channel 阻塞排队、GC 扫描压力三者叠加，runtime.gosched() 频繁触发，吞吐反而不如单 goroutine 查 map。
真正可行的路径是：把「过滤」和「频控」拆成无锁热路径 + 有状态冷路径：
- 热路径只做
sync.Map.Load()判断是否在黑名单或超频，不分配内存、不调函数、不进 channel - 冷路径（如首次访问、计数更新）才走
sync.Map.LoadOrStore()或atomic操作，且必须带time.Now().UnixNano()时间戳校验窗口 - 所有时间窗口计算用
int64纳秒做 key，避免浮点误差和time.Time分配
如何用 sync.Map 实现无锁频控计数？
sync.Map 不适合直接存计数器对象（比如 struct{ count int; last int64 }），因为 LoadOrStore 无法原子更新字段。正确做法是把「窗口起始时间 + 计数」编码进一个 int64：
// key = ip + window_start_ns（纳秒对齐到 1s）
// value = count（低 32 位） | window_start_ns（高 32 位，需右移 32）
func incCounter(m *sync.Map, ip string, windowNs int64) int {
key := ip + ":" + strconv.FormatInt(windowNs, 10)
v, loaded := m.LoadOrStore(key, int64(1))
if loaded {
cnt := int(v.(int64) & 0xFFFFFFFF)
if cnt <p>注意：<code>windowNs</code> 必须是窗口左边界（如 <code>now / 1e9 * 1e9</code>），不能用 <code>now</code> 当前时间——否则同一窗口内多次请求会被散列到不同 key。</p><h3>黑名单与频控如何共用一套存储结构？</h3><p>别维护两套 map。把黑名单当作一种特殊频控：窗口设为 <code>math.MaxInt64</code>，计数阈值设为 0。统一用一个 <code>sync.Map</code> 存储，key 格式为 <code>ip:kind</code>（<code>kind=0</code> 黑名单，<code>kind=1</code> 频控），value 仍为 <code>int64</code> 编码。</p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/gongju/2525" title="Go语言（Golang）1.26.0"><img
src="https://img.php.cn/upload/manual/001/589/237/6a6adeed24a4a355.png" alt="Go语言（Golang）1.26.0" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/gongju/2525" title="Go语言（Golang）1.26.0" class="overflowclass">Go语言（Golang）1.26.0</a>
<p class="overflowclass">Go语言（Golang）1.26.0版本官方下载，版本号 1.26.0，适合旧项目维护、兼容性测试和指定版本开发环境搭建。</p>
</div>
<a rel="nofollow" href="/xiazai/gongju/2525" title="Go语言（Golang）1.26.0" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div><p>检查时先查 <code>ip+":0"</code>，命中则直接拒绝；未命中再查 <code>ip+":1"</code> 并更新计数。这样避免两次 map 查找，也省去类型断言开销。</p><p>容易踩的坑：</p>
- 黑名单写入后没做 TTL 清理？得另起 goroutine 定期扫描
range，用time.Since()判超时，调Delete——但别在热路径里做 - 频控窗口跨 midnight 导致计数归零？纳秒对齐天然规避此问题，只要窗口单位一致（秒/分钟）就无影响
- IPv6 地址含冒号，直接拼接
ip+":0"会破坏 key 结构？用strings.ReplaceAll(ip, ":", "_")预处理
为什么 net.Conn.RemoteAddr().String() 不能直接当 IP 用？
RemoteAddr().String() 返回形如 "192.168.1.1:54321" 或 "[2001:db8::1]:4242"，直接当 key 会导致同一 IP 多个端口被当成不同实体。必须提取纯 IP：
host, _, err := net.SplitHostPort(conn.RemoteAddr().String())
if err != nil {
host = conn.RemoteAddr().String() // fallback for unix socket etc.
}
ip := net.ParseIP(host).String() // 归一化 IPv6 为标准格式
更关键的是：NAT 后的真实 IP 往往在 X-Forwarded-For 或 X-Real-IP header 里。但这些 header 可伪造，必须配合白名单代理 IP（如 10.0.0.0/8）做逐跳校验，否则 ParseIP() 解出来的仍是攻击者可控字段。
真正上线时，IP 提取逻辑必须和反向代理配置强绑定，不能只依赖 RemoteAddr()。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
