Gin框架不支持路由级黑白名单配置，必须通过中间件实现；c.ClientIP()线上失效因默认仅信任本地网段，真实IP需通过X-Real-IP或X-Forwarded-For配合SetTrustedProxies解析，且拦截后须调用c.Abort()并return。
Gin 框架本身不提供路由级黑白名单配置能力，必须手动实现中间件拦截——所有“在 GET/POST 里加 IP 规则”的尝试都会失败，因为路由注册函数根本不解析这类逻辑。
为什么 c.ClientIP() 在线上环境几乎必然失效
它默认只信任 127.0.0.1/8 和 ::1/128，而真实请求必经 Nginx、CDN 或 Service Mesh，导致返回的是代理内网地址（如 10.0.0.3 或 127.0.0.1），而非用户真实出口 IP。
- 若只有一层 Nginx，确保它配置了
proxy_set_header X-Real-IP $remote_addr;，然后在 Gin 中用c.Request.Header.Get("X-Real-IP") - 若有多层（如 CDN → Nginx → Go），必须调用
engine.SetTrustedProxies([]string{"192.168.0.0/16", "203.208.60.0/24"})，再调用c.ClientIP()才可靠 - 永远不要直接信任客户端传来的
X-Forwarded-For全字段；SetTrustedProxies的作用是让 Gin 自动剔除链中可信节点的 IP，只保留最外层不可信来源
如何给单个路由加 IP 白名单中间件
不能用 Use() 全局挂载，必须显式绑定到目标路由链。注意顺序：中间件必须放在 handler 之前，且需提前获取真实 IP。
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
- 提取真实 IP 的安全写法：
ip := c.GetHeader("X-Real-IP")，若为空再 fallback 到X-Forwarded-For并取最右非空段（strings.LastIndex(ip, ", ") + 2） - 白名单建议预编译为
map[string]bool或用net.IPNet.Contains()支持 CIDR，避免每次请求都做字符串分割 - 绑定方式必须用
.Handle()，不是.Use()：router.GET("/admin", handler).Handle(whiteListMiddleware)
怎么支持 CIDR 网段匹配和热更新规则
硬编码 map[string]bool 只能匹配单 IP，无法处理 192.168.1.0/24 这类网段；直接替换 map 会导致并发读写竞争和中间态问题。
- 推荐用
[]netip.Prefix切片 +atomic.Value：初始化时按掩码长度倒序排列（保证/32优先于/24） - 更新规则时
Store整个新切片，无锁、原子、无中间态 - 查询时遍历切片，对每个
prefix.Contains(ip)判断，命中即拦截 - 拦截后务必跟
c.Abort()和return，否则后续中间件或 handler 仍会执行——数据库可能已被改、日志已落盘
真正容易被忽略的是：规则更新时的原子性保障，以及拦截后忘记 c.Abort() 导致的业务逻辑误执行。这两点在线上出问题时往往难以复现和定位。
