java应用无法自行控制网络访问权限，限制特定ip访问其接口必须在系统层（如iptables）或云平台层（如安全组）实现；两者常配合使用，安全组作第一道网关，iptables作主机级精细控制。
Java 应用本身不控制网络访问权限，限制特定 IP 访问 Java 接口（如 Spring Boot 的 /api/user）必须在系统层或云平台层实现。核心手段是：用 iptables 在 Linux 主机上做源 IP + 端口级过滤，或在云服务器（如阿里云、AWS）中配置安全组规则。两者互不冲突，常配合使用——安全组做第一道网关过滤，iptables 做主机级精细控制。
用 iptables 限制特定 IP 访问 Java 服务端口
假设 Java 服务监听 0.0.0.0:8080，只允许 203.0.113.5 和 203.0.113.10 访问，其他全部拒绝：
- 先插入允许规则（
-I插入顶部，确保优先匹配）：sudo iptables -I INPUT -p tcp -s 203.0.113.5 --dport 8080 -j ACCEPTsudo iptables -I INPUT -p tcp -s 203.0.113.10 --dport 8080 -j ACCEPT - 再插入拒绝规则（放在允许规则之后，但需确保它在默认策略之前）：
sudo iptables -I INPUT -p tcp --dport 8080 -j DROP - 验证规则顺序：
sudo iptables -L INPUT -n --line-numbers
应看到类似：1 ACCEPT tcp -- 203.0.113.10 0.0.0.0/0 tcp dpt:80802 ACCEPT tcp -- 203.0.113.5 0.0.0.0/0 tcp dpt:80803 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080 - 保存规则（避免重启失效）：
Ubuntu/Debian：sudo iptables-save > /etc/iptables/rules.v4
CentOS/RHEL：sudo service iptables save或sudo iptables-save > /etc/sysconfig/iptables
用 iptables 限制 IP 段或排除特定 IP
支持 CIDR 表示法，灵活适配办公网段或 CDN 回源地址：
- 只允许整个办公网段（
192.168.10.0/24）访问 8080：sudo iptables -I INPUT -p tcp -s 192.168.10.0/24 --dport 8080 -j ACCEPTsudo iptables -I INPUT -p tcp --dport 8080 -j DROP - 允许除某恶意 IP 外的所有访问（注意逻辑顺序）：
sudo iptables -I INPUT -p tcp -s 198.51.100.45 --dport 8080 -j DROPsudo iptables -I INPUT -p tcp --dport 8080 -j ACCEPT
⚠️ 此写法要求默认 INPUT 策略为ACCEPT，否则需额外放行 ESTABLISHED 连接和 lo 接口
云服务器安全组（如阿里云 ECS、腾讯云 CVM）等效配置
安全组是实例级别的虚拟防火墙，比 iptables 更前置（流量进内核前即被拦截），推荐作为第一道防线：
- 登录云控制台 → 找到对应实例 → 关联的安全组 → 编辑入方向规则
- 添加两条允许规则：
来源 IP：203.0.113.5/32，协议端口：TCP:8080
来源 IP：203.0.113.10/32，协议端口：TCP:8080 - 默认拒绝所有其他入向 TCP 8080 流量（安全组默认策略即“拒绝未明确允许的流量”，无需额外加拒绝规则）
- 生效即时，无需重启服务或执行命令，且不受主机 iptables 配置影响
关键注意事项与避坑点
操作不当可能导致 SSH 断连或服务不可达：
- 防自锁：配置 SSH（22端口）限制前，务必先用本地终端或带外管理接入，或保留一条不限源的 SSH 规则
-
规则顺序决定行为：iptables 自上而下匹配，第一条匹配即生效；
-I插入开头，-A追加末尾 -
状态跟踪要保留：若将 INPUT 默认策略设为 DROP，必须先加：
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPTsudo iptables -A INPUT -i lo -j ACCEPT -
DROP vs REJECT：对 API 接口建议用
DROP（静默丢包），避免暴露服务存在；调试阶段可用REJECT获取明确连接拒绝提示 -
Docker 场景特殊处理：若 Java 服务跑在 Docker 容器中且映射了端口（如
-p 8080:8080），iptables INPUT 规则可能不生效——需改用DOCKER-USER链：sudo iptables -I DOCKER-USER -i eth0 ! -s 203.0.113.5 -p tcp --dport 8080 -j DROP
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
