Nginx黑白名单按顺序逐条匹配，遇首条匹配即执行并终止后续检查；白名单需先allow后deny all，黑名单需先deny后allow all，缺deny all则未匹配IP默认放行。
IP 黑白名单在 Nginx 中不是“叠加生效”，而是按配置顺序逐条匹配，遇到第一条满足条件的规则就立即执行并终止后续匹配。顺序颠倒（比如先 allow 后 deny，且没有兜底）极易导致本该拒绝的 IP 被放行，或本该放行的被误拦——这是最常见却最容易被忽略的配置故障。
理解 Nginx 的匹配逻辑：允许/拒绝是“短路执行”
Nginx 的 allow 和 deny 指令按自上而下的顺序检查，一旦某条规则匹配成功，就立刻应用对应动作（允许或拒绝），不再看后面的规则。关键点：
- 没有隐式“默认拒绝”；如果所有规则都不匹配，Nginx 默认放行（除非你显式写了
deny all） - 若先写
allow 192.168.1.100，再写deny 192.168.1.0/24，那么192.168.1.100仍会被放行——因为第一条已匹配成功，第二条根本不会生效 - 正确顺序应是：先
deny（细化黑名单），再allow（白名单特例），最后用deny all收尾，形成“黑名单优先 + 白名单豁免 + 兜底拒绝”结构
快速定位是否为顺序问题
打开 Nginx 配置文件（如 location 块或 http/server 块中），聚焦检查以下三点：
- 是否存在
allow出现在deny之前，且范围覆盖后者？例如：allow 10.0.0.0/8;在deny 10.0.1.5;上方 →10.0.1.5永远不会被拒绝 - 是否缺失
deny all;？没有它，未被显式deny的 IP 都会放行，黑白名单形同虚设 - 是否混用了
geo/map模块定义的变量做访问控制？它们的逻辑独立于allow/deny，需单独验证变量值是否符合预期
验证与测试方法
别只靠脑算，用实操确认行为：
- 用
nginx -t检查语法无误后，务必 reload：nginx -s reload - 从目标 IP（如被误放行的黑名单 IP）发起请求，同时开启 Nginx 错误日志（
error_log /path/to/error.log debug;），搜索access forbidden by rule或client denied by server configuration等关键词，看是否触发、在哪条规则触发 - 临时加一条带注释的测试规则，例如：
deny 127.0.0.1; # TEST_ONLY，再从本地 curl 测试，观察是否返回 403 —— 快速验证整套机制是否工作 - 用
curl -I -x "" http://your.site/ --connect-to example.com:80:192.168.1.100:80（需支持 connect-to）或在不同网络环境（手机热点、云服务器）下实测 IP 效果
推荐的安全写法模板
避免自由发挥，直接套用结构化写法：
location /admin/ {
# 步骤1：明确拒绝已知恶意段（可选）
deny 192.168.2.0/24;
deny 203.0.113.42;
<pre class="brush:php;toolbar:false;"># 步骤2：允许白名单（精确 IP 或小网段）
allow 203.0.113.10;
allow 203.0.113.11;
# 步骤3：兜底拒绝（必须！否则前面没匹配上的全放行）
deny all;
}
注意：所有 allow/deny 必须在同一作用域（如都在同一个 location 内），跨块不继承；IPv6 地址需用方括号，如 allow 2001:db8::1;。
