如何快速构建一个具备IP黑白名单校验的安全防御模块-Golang-PHP中文网

gin 中 c.clientip() 默认不信任外部代理，需显式配置可信网段并结合 x-real-ip 或 x-forwarded-for 获取真实 ip；nginx 用 geo 模块高效拦截；spring boot 应解析请求头剔除内网段，并用 redis + 本地缓存管理黑白名单；高频动态场景推荐 openresty + redis。

如何快速构建一个具备ip黑白名单校验的安全防御模块

别用 `c.ClientIP()` 直接取 IP，它在线上基本失效

Gin 的 c.ClientIP() 默认只信任 127.0.0.1 和 ::1，一旦前面有 Nginx、CDN 或 Traefik，返回的就是代理内网地址（比如 10.0.0.3），根本不是用户真实出口 IP。这不是 bug，是设计如此——它不自动信任任何外部代理。

正确做法是显式配置可信代理段，并优先从 X-Real-IP 或 X-Forwarded-For 解析：

如果只有一层反向代理（如 Nginx 直连 Go 服务），确保 Nginx 配置了 proxy_set_header X-Real-IP $remote_addr;，然后在 Gin 中用 c.Request.Header.Get("X-Real-IP")
如果有多层（例如 CDN → Nginx → Go），必须用 X-Forwarded-For 并取最左侧“非可信地址”：先调用 engine.SetTrustedProxies([]string{"192.168.0.0/16", "203.208.60.0/24"}) 声明可信网段，再调用 c.ClientIP() ——此时它才真正可靠
永远不要直接信任客户端传来的 X-Forwarded-For 全字段，攻击者可伪造；SetTrustedProxies 的作用就是让 Gin 自动剔除链中可信节点的 IP，只保留最外层不可信来源

Nginx 层拦截比代码层更高效，但别只依赖它

在 Nginx 配置黑白名单，请求根本不到后端，零延迟拦截。适合封禁已知恶意网段或放行运维固定出口 IP。

但要注意两点硬伤：

静态配置难更新：每次增删都要 reload Nginx，不适合高频变动的名单（如秒级封禁爬虫）
无法结合业务逻辑：比如“只对 /api/v1/sms 接口启用白名单”，Nginx 做不到路径级动态策略

典型高效写法（千万级 QPS 场景验证过）：

geo $blacklist {
  default 0;
  include /etc/nginx/ip_blacklist.ranges;
  192.168.1.0/24 1;
}
server {
  if ($blacklist) { return 403; }
}

注意：geo 模块查表是 O(1)，比 if ($remote_addr ~ ...) 正则匹配快一个数量级，超百条规则必须用它。

Spring Boot 拦截器里校验 IP，关键在真实 IP 提取和缓存策略

Spring Boot 实现黑白名单，核心不在“怎么拦”，而在“拦谁”——HttpServletRequest.getRemoteAddr() 同样不可靠，必须自己解析头。

Question AI

一款面向学习和知识查询场景的AI助手，提供问题解答、内容和智能搜索等功能。

下载

推荐复用成熟工具类（如 Apache Commons 的 RemoteAddrResolver），或手动处理：

按顺序检查 X-Real-IP → X-Forwarded-For → remoteAddr，并剔除已知内网段（10.0.0.0/8、127.0.0.0/8、172.16.0.0/12、192.168.0.0/16）
黑名单用 Redis 的 SET 存，白名单用 SET 或 HASH（支持带备注、过期时间）
避免每次请求都查 DB：本地加 Guava Cache 做二级缓存，expireAfterWrite(10, TimeUnit.MINUTES)，减轻 Redis 压力

示例判断逻辑：

String clientIp = IpUtils.getRealIp(request);
if (redisTemplate.opsForSet().isMember("ip:blacklist", clientIp)) {
    throw new AccessDeniedException("Blocked by blacklist");
}
// 白名单优先级更高，需先检查
if (!redisTemplate.opsForSet().isMember("ip:whitelist", clientIp)) {
    throw new AccessDeniedException("Not in whitelist");
}