应使用 net.parsecidr 解析 cidr 规则为 *net.ipnet，再调用 contains 方法判断 ip 是否在网段内；需预解析规则、正确提取可信客户端 ip，并按黑名单优先、白名单次之的顺序匹配。
如何用 net.IPNet 判断 IP 是否在指定网段内
Go 标准库的 net 包已经提供了完整、可靠的 CIDR 解析和匹配能力，不需要额外引入第三方库。核心是把黑白名单规则解析为 *net.IPNet，再用其 Contains 方法判断请求 IP。
常见错误是直接字符串比较或手动拆分点分十进制，这既不支持 IPv6，也容易漏掉掩码边界（比如 192.168.1.0/24 应该匹配 192.168.1.255，但手动截取前 3 段会失败）。
- 必须用
net.ParseCIDR解析规则，它能正确处理 IPv4/IPv6 和任意前缀长度 - 注意
net.ParseCIDR返回的*net.IPNet中的IP字段是网络地址（如192.168.1.0），不是原始输入字符串，但不影响Contains使用 - 客户端真实 IP 可能被反向代理污染，务必从
X-Forwarded-For或X-Real-IP提取并做可信校验，否则黑名单形同虚设
黑白名单规则怎么加载和匹配才不拖慢 HTTP 请求
每次请求都重新解析 CIDR 字符串（比如从配置文件读一行、ParseCIDR 一次）是典型性能陷阱——net.ParseCIDR 内部有内存分配和位运算，高频调用下开销明显。
正确做法是在服务启动时一次性解析全部规则，存为 []*net.IPNet（白名单）和 []*net.IPNet（黑名单），运行时只做 Contains 查找。
- 黑名单优先于白名单：只要 IP 匹配任一黑名单项，立即拒绝；否则再检查是否至少匹配一个白名单项（若白名单非空）
- 如果白名单为空，表示“全放行”，此时黑名单仍生效；如果黑名单为空，表示“无禁止”，仅靠白名单控制
- 避免用
map[string]*net.IPNet按字符串索引——CIDR 字符串不是唯一键（192.168.1.0/24和192.168.1.1/24解析结果相同），且查找无优势
为什么 net.ParseIP 处理 X-Forwarded-For 时总返回 nil
net.ParseIP 对输入极其严格：它拒绝带端口（127.0.0.1:8080）、带空格（" 192.168.1.1 "）、带 IPv6 方括号（[::1]）的字符串。而 X-Forwarded-For 值通常是逗号分隔的列表（"203.0.113.195, 198.51.100.1"），直接传给 ParseIP 必然失败。
- 先按逗号分割，对每个片段
strings.TrimSpace去首尾空格 - 再对每个干净字符串调用
net.ParseIP；若返回非 nil，说明是有效 IP，可继续下一步匹配 - 不要盲目取第一个（可能为代理 IP），应结合
RemoteAddr和可信代理列表做 IP 链还原，否则容易绕过控制 - IPv6 地址在 HTTP 头中常带方括号（
[2001:db8::1]），需提前去掉方括号再解析
HTTP 中间件里怎么写一个可复用的黑白名单检查逻辑
最简可行的中间件结构是接收预解析好的黑白名单切片，闭包捕获后直接注入 http.Handler 链。重点在于错误响应要明确（比如 403 + 简短 reason），且不泄露内部规则细节。
func NewIPFilter(whitelist, blacklist []*net.IPNet) func(http.Handler) http.Handler {
return func(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
ip := getRealIP(r) // 实现见上一节
if ip == nil {
http.Error(w, "invalid client ip", http.StatusForbidden)
return
}
// 黑名单优先
for _, net := range blacklist {
if net.Contains(ip) {
http.Error(w, "ip blocked", http.StatusForbidden)
return
}
}
// 白名单非空时才检查
if len(whitelist) > 0 {
matched := false
for _, net := range whitelist {
if net.Contains(ip) {
matched = true
break
}
}
if !matched {
http.Error(w, "ip not allowed", http.StatusForbidden)
return
}
}
next.ServeHTTP(w, r)
})
}
}
注意 getRealIP 必须是你自己实现的可信 IP 提取函数，不能直接用 r.RemoteAddr —— 它只是 TCP 连接来源，对 Nginx 反代场景完全不可信。
真正难的是规则热更新和大规模网段重叠检测（比如 10.0.0.0/8 和 10.1.2.0/24 共存时的优先级），这些不在基础中间件里解决，需要单独设计规则管理模块。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
