pprof本身无访问控制，goland不参与运行时鉴权；必须在go程序http服务层手动实现ip白名单中间件并置于路由链最前，且需正确配置可信代理与真实ip提取逻辑。
pprof 本身没有访问控制能力，GoLand 也不提供配置白名单的功能——它只是个 IDE，不参与运行时请求路由或鉴权。真正要限制 /debug/pprof/ 接口的访问，必须在 Go 程序自身 HTTP 服务层实现，且必须早于 pprof 处理逻辑执行。
为什么不能靠 GoLand 或 import _ "net/http/pprof" 自动加白名单
GoLand 只负责代码编辑、调试和启动命令，它不会修改你的 HTTP 路由行为；import _ "net/http/pprof" 仅触发 http.DefaultServeMux 的注册，但该 mux 完全无鉴权逻辑，所有路径对任意 IP 开放。线上直接暴露 /debug/pprof/ 等同于把性能数据、堆栈、goroutine 列表主动送给攻击者。
在 Gin 中给 /debug/pprof/* 加 IP 白名单中间件
必须手动在 pprof 路由前插入校验逻辑，确保只有指定 IP 能进入。Gin 不会自动为你做这件事，也不能依赖 c.ClientIP() —— 它默认只信 127.0.0.1，经 Nginx 或云厂商代理后返回的是内网地址。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 先显式配置可信代理：
engine.SetTrustedProxies([]string{"192.168.0.0/16", "100.64.0.0/10"})（按你实际 CDN/Nginx 网段填） - 用
c.Request.Header.Get("X-Real-IP")或X-Forwarded-For提取真实 IP，再调net.ParseIP()校验合法性 - 白名单用
map[string]struct{}预加载，避免每次查文件或 DB - 中间件必须放在
router.Use(...)链最前面，早于cors.New()、JWT 验证等其他中间件 - 示例片段（非完整 handler）：
func pprofIPWhitelist(allowedIPs map[string]struct{}) gin.HandlerFunc { return func(c *gin.Context) { ip := c.ClientIP() // 已配置 SetTrustedProxies 后才可靠 if _, ok := allowedIPs[ip]; !ok { c.AbortWithStatus(http.StatusForbidden) return } c.Next() } } <p>// 使用： allowed := map[string]struct{}{ "192.168.1.100": {}, "2001:db8::1": {}, } r.Use(pprofIPWhitelist(allowed)) r.GET("/debug/pprof/*pprof", gin.WrapH(http.DefaultServeMux)) </p>
绕过 Gin、用纯 net/http 启动时怎么加白名单
如果你用 http.Serve() 或 http.ListenAndServeTLS()，就不能依赖 Gin 中间件机制。得自己包装 http.DefaultServeMux：
- 定义一个 wrapper handler，先校验 IP，再调用原 pprof handler
- 注意：必须用
http.StripPrefix剥离路径前缀，否则 pprof 内部重定向会出错 - 别直接
http.Handle("/debug/pprof/", ...)，这会让所有子路径（如/debug/pprof/heap）都走同一 handler，无法细粒度控制 - 更安全的做法是只暴露必要端点，例如仅挂载
/debug/pprof/profile和/debug/pprof/heap，其余禁用
容易被忽略的关键点
IP 白名单逻辑一旦写错，要么完全失效（比如忘了 SetTrustedProxies，导致永远拿到 127.0.0.1），要么误杀（比如 IPv6 地址没去掉方括号、没转成规范格式）。更隐蔽的问题是：pprof 的 /debug/pprof/goroutine?debug=2 会直接返回所有 goroutine 的栈，里面可能含敏感变量名、路径、token 片段——哪怕你 IP 过了，也得确认是否真有必要开放这个端点。
