如何在 Go 中仅允许本地回环地址（localhost）的 HTTP 请求-Golang-PHP中文网

如何在 Go 中仅允许本地回环地址（localhost）的 HTTP 请求

通过将 HTTP 服务器绑定到 127.0.0.1:端口（而非 :端口），可让 Go 的 http.Server 仅监听本地回环接口，从网络栈底层拒绝非 localhost 的连接请求，无需应用层鉴权，高效且安全。

通过将 http 服务器绑定到 `127.0.0.1:端口`（而非 `:端口`），可让 go 的 `http.server` 仅监听本地回环接口，从网络栈底层拒绝非 localhost 的连接请求，无需应用层鉴权，高效且安全。

Go 的 http.Server 底层依赖 net.Listen 创建监听套接字。关键在于：监听地址的语义决定操作系统绑定的网络接口。若 Addr 字段指定为 ":8080"（省略 host），Go 会调用 net.Listen("tcp", ":8080")，等价于监听 0.0.0.0:8080（所有 IPv4 接口）或 [::]:8080（所有 IPv6 接口），外部流量可直接建立 TCP 连接；而若显式指定为 "127.0.0.1:8080"，则仅绑定到 loopback 接口，操作系统内核会在 TCP 握手阶段（SYN 包处理时）自动丢弃来自非本机的连接请求——这正是问题所追求的“零应用层开销”的防护机制。

✅ 正确做法（推荐）：

h := http.NewServeMux()
h.Handle("/somepath", MyHandler)

s := &http.Server{
    Addr:    "127.0.0.1:1234", // ← 显式绑定到 localhost IPv4
    Handler: h,
}

log.Printf("Starting server on %s", s.Addr)
log.Fatal(s.ListenAndServe())

⚠️ 注意事项：

若需同时支持 IPv4 和 IPv6 的本地访问，可使用 "localhost:1234"（Go 会自动解析为 127.0.0.1 和 ::1）；
避免使用 "0.0.0.0:1234" 或 ":1234"，否则服务将暴露给所有网络接口；
此方案不依赖任何中间件或请求头校验，完全由操作系统网络栈保障，性能无损，且不会向外部暴露端口开放状态（nmap 扫描将显示该端口为 filtered 或 closed，而非 open）；
若部署在容器或云环境中，请确认宿主机/编排平台未额外映射端口（如 Docker 的 -p 8080:1234 会绕过此限制，此时应改用容器网络策略或防火墙规则）。