ip字符串必须转为32位整数再按数值区间归类，不可直接字符串比较；应使用跨库通用手算公式a×16777216+b×65536+c×256+d，并用bigint存储；推荐join预定义ip段表而非case when，且group by前须完成转换与过滤。
IP字符串不能直接GROUP BY做区间归类
直接对ip_str字段用GROUP BY再配合BETWEEN或CASE WHEN判断网段，结果一定是错的。因为IP是点分十进制字符串，“192.168.10.1”字典序大于“192.168.2.1”，但数值更小；而SQL的字符串比较不识别这种语义，WHERE ip_str BETWEEN '192.168.1.0' AND '192.168.10.255'会漏掉甚至误判大量地址。
必须先把IP转成32位无符号整数，再按数值区间归类——这是所有主流SQL引擎（MySQL、PostgreSQL、SQL Server）唯一可靠路径。
- 别用
INET_ATON()：MySQL专用，跨库不可移植 - 别拆成四段再
CAST：如CONVERT(INT, PARSENAME(REPLACE(ip_str,'.',' '),1))在SQL Server里易溢出，且逻辑冗长 - 统一用手算公式：
a*16777216 + b*65536 + c*256 + d，各库都能写，可控、无依赖
怎么把IP字符串安全转成整数（跨库通用写法）
核心是稳定提取每一段数字，并做整型乘加。不同数据库取子串语法不同，但结构一致：
MySQL示例（结果需存为UNSIGNED INT或BIGINT防溢出）：
SELECT ip_str, (SUBSTRING_INDEX(ip_str, '.', 1) * 16777216 + SUBSTRING_INDEX(SUBSTRING_INDEX(ip_str, '.', 2), '.', -1) * 65536 + SUBSTRING_INDEX(SUBSTRING_INDEX(ip_str, '.', 3), '.', -1) * 256 + SUBSTRING_INDEX(ip_str, '.', -1)) AS ip_int FROM access_log;
PostgreSQL对应写法（注意类型转换）：
SELECT ip_str, (SPLIT_PART(ip_str, '.', 1)::int * 16777216 + SPLIT_PART(ip_str, '.', 2)::int * 65536 + SPLIT_PART(ip_str, '.', 3)::int * 256 + SPLIT_PART(ip_str, '.', 4)::int) AS ip_int FROM access_log;
-
SUBSTRING_INDEX(..., '.', -1)比SUBSTRING_INDEX(..., '.', n)更安全，能防空段 - SQL Server可用
PARSENAME(REPLACE(ip_str, '.', ' '), n)，但要注意PARSENAME只支持4段，且返回sysname，需CONVERT(BIGINT, ...) - 务必用
BIGINT或无符号类型接收结果：IPv4最大值4294967295超出有符号INT范围
用预定义IP段表+JOIN替代硬编码CASE WHEN
把IP段映射关系写死在CASE WHEN ip_int BETWEEN ... AND ... THEN '内网'里，维护成本高、难测试、无法索引加速。更合理的方式是建一张ip_range_map表：
CREATE TABLE ip_range_map ( range_name VARCHAR(32), start_ip BIGINT NOT NULL, end_ip BIGINT NOT NULL, INDEX idx_range (start_ip, end_ip) );
然后关联查询归类统计：
SELECT m.range_name, COUNT(*) AS cnt FROM access_log l JOIN ip_range_map m ON l.ip_int BETWEEN m.start_ip AND m.end_ip GROUP BY m.range_name;
- JOIN比嵌套
CASE快得多，尤其当段数＞5时，数据库可利用索引快速定位匹配段 -
start_ip和end_ip必须为BIGINT，且保证无重叠、无缝隙（或明确处理边界） - 如果某IP没落到任何段，
LEFT JOIN后range_name IS NULL可捕获异常地址
GROUP BY前必须完成IP转换和原始过滤
常见错误是把时间范围、状态码等条件放到外层查询，导致先对全量日志转IP再过滤——既慢又浪费内存。正确顺序是：原始表 → 转整数 → WHERE过滤 → GROUP BY归类。
例如查「昨天来自国内IP段的访问次数」，必须这样写：
SELECT m.range_name, COUNT(*) AS cnt
FROM (
SELECT
(SUBSTRING_INDEX(ip_str, '.', 1) * 16777216 + ...) AS ip_int
FROM access_log
WHERE log_time >= '2026-09-16' AND log_time
- 子查询里完成
WHERE和IP转换，大幅减少后续JOIN数据量 - 别在
GROUP BY外层再加WHERE range_name IS NOT NULL来排除未匹配IP——这无法避免无效JOIN，应提前在子查询或JOIN条件中控制 - 如果
ip_range_map很大，考虑对start_ip建前缀索引（如MySQL的INDEX(start_ip)），BETWEEN才能走索引
实际落地时最容易被忽略的是整数溢出和段表边界覆盖。比如用INT存IP，在MySQL里遇到128.0.0.1就变负数；又比如ip_range_map漏了0.0.0.0–0.255.255.255这段，所有以0开头的IP都会丢失归类。这些细节不检查，统计结果就不可信。
