Gin框架如何屏蔽指定IP段的恶意请求攻击-Golang-PHP中文网

应在gin中间件中通过settrustedproxies配置可信代理，用net.parseip解析c.clientip()获取真实ip，再以预解析的*net.ipnet切片调用contains进行cidr匹配，黑名单优先、豁免探针路径，并务必c.abort()终止请求。

gin框架如何屏蔽指定ip段的恶意请求攻击

如何在Gin中间件中解析并匹配IP段

直接用 c.ClientIP() 获取的 IP 可能是代理后的真实客户端 IP，但默认不启用可信代理头解析，容易误判为 127.0.0.1 或内网地址。必须先配置 gin.SetMode(gin.ReleaseMode) 并显式设置可信代理列表，否则 c.ClientIP() 会返回不可靠结果。

IP段匹配不能靠字符串前缀（如 "192.168.1."），必须转为整数进行 CIDR 判断。推荐用标准库 net.ParseIP + net.IPNet.Contains，避免手动拆分和掩码计算出错。

可信代理需提前设置： router.TrustedPlatform = gin.PlatformCloudflare 或自定义 gin.ProxyHeaders
获取真实IP后，统一转为 net.IP 类型再比对
白名单/黑名单规则建议存于内存 map 或 Redis，避免每次读配置文件

用 net.IPNet 实现 CIDR 段匹配的中间件

Go 标准库的 net.IPNet 天然支持 CIDR 匹配（如 "192.168.0.0/16"），比正则或字符串截取更准确、性能更好。错误做法是把 IP 转成点分十进制字符串再做 strings.HasPrefix，这无法处理 /24 和 /25 等不同掩码长度。

示例中间件逻辑：

Gin框架 1.9.0

Gin框架 1.9.0版本源码包下载，版本号 1.9.0，适合需要 sonic JSON 支持、路由修复和内容协商改进的 Go Web 开发场景。

下载

func IPBlockMiddleware(blacklist []*net.IPNet) gin.HandlerFunc {
    return func(c *gin.Context) {
        ip := net.ParseIP(c.ClientIP())
        if ip == nil {
            c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "invalid ip"})
            return
        }
        for _, cidr := range blacklist {
            if cidr.Contains(ip) {
                c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "ip blocked"})
                return
            }
        }
        c.Next()
    }
}

初始化时预解析所有 CIDR 字符串为 *net.IPNet，避免每次请求都调用 net.ParseCIDR
注意 IPv6 地址需用 net.ParseIP 正确识别，不要硬编码 IPv4 判断
若黑名单条目超过千条，建议改用 iprange 库做区间合并优化查询

为什么不能只靠 Nginx 做 IP 段拦截

Nginx 的 allow/deny 确实快，但它在七层之前就丢弃请求，导致 Gin 完全收不到日志、无法联动限流或人机验证。真实攻击往往伴随 UA 异常、请求头缺失、高频低质量 payload，单靠 IP 段过滤会漏掉大量伪装成合法 IP 的 BOT 流量。

Nginx 层适合封禁已确认的恶意 AS 段（如某 IDC 全部出口 IP）
Gin 中间件更适合做动态决策：结合请求路径、Header、频率特征联合判断
两者应分层协作——Nginx 做粗筛，Gin 做细粒度策略（如 /api/login 下对某 IP 段+异常 UA 组合直接拦截）

常见 CIDR 配置陷阱与调试方法

开发时容易把 "10.0.0.0/8" 写成 "10.0.0.0/24"，或者误以为 "192.168.1.100" 属于 "192.168.1.0/24" 就一定匹配成功——其实取决于 net.ParseCIDR 解析是否成功。调试阶段务必打印解析后的 IPNet.Mask 和 IP.String() 对比。