HTML无法实现IP白名单，真正生效的是Nginx等后端配置或防火墙规则；前端textarea仅作输入界面，需配合后端校验与真实权限控制逻辑。
HTML本身不支持IP白名单设置
HTML是纯展示层标记语言，input、textarea这些标签只能收集用户输入，无法校验IP格式、更不能决定“哪些IP能访问”。所谓“HTML设置IP白名单”，本质是混淆了前端界面和后端权限控制——真正在做白名单的，永远是服务器（比如Nginx、Apache、Node.js服务、PHP脚本等）或云厂商的防火墙规则。
你用textarea让运维填一堆IP，只是个录入界面，后面必须配真实后端逻辑或配置文件才能生效。
用textarea实现多行IP输入时的注意事项
常见场景：后台管理页提供一个文本框，让管理员粘贴IP列表（每行一个，支持192.168.1.1、10.0.0.0/8、2001:db8::/32）。关键不是“怎么画框”，而是怎么让输入不翻车：
- 加
rows="6"和cols="40"避免默认太窄，但别锁死width/height，留CSS控制余地 - 用
placeholder写清楚格式，比如placeholder="每行一个IP或CIDR，如：192.168.1.1 或 10.0.0.0/8" - 禁用自动补全：
autocomplete="off"，防止浏览器把历史邮箱/地址塞进来 - 提交前JS简单校验（仅辅助）：用
split('\n')切行，对每行用正则/^(\d{1,3}\.){3}\d{1,3}(\/\d{1,2})?$|^([0-9a-fA-F]{1,4}:){7}[0-9a-fA-F]{1,4}(\/\d{1,3})?$/粗筛（注意这只是防手误，不能替代后端校验）
Nginx中真正生效的IP白名单配置长什么样
如果你在找“怎么让白名单起作用”，那得看Nginx配置。HTML页面只是个入口，真正的开关在nginx.conf或站点配置里：
立即学习“前端免费学习笔记（深入）”；
- 用
allow和deny指令，顺序敏感：规则从上往下匹配，遇到第一个匹配就停止 - 必须以
deny all收尾，否则默认全部放行 - 支持CIDR写法，比如
allow 192.168.1.0/24；IPv6要加方括号：allow 2001:db8::/32 - 如果白名单存在动态更新需求，别硬编码进conf——改完要
nginx -s reload，建议用include /path/to/ip_whitelist.conf单独维护文件
错误示例：allow 192.168.1.100; deny all; → 看似只放行一个IP，但没写allow其他网段时，会直接拦截所有请求（包括localhost），调试时容易把自己关在外面。
后端读取并验证IP列表时的典型坑
从前端textarea提交过来的IP字符串，后端解析稍不注意就会漏掉边界情况：
- 换行符不统一：
\n（Linux/macOS）、\r\n（Windows）、甚至\r（老Mac），要用.split(/[\r\n]+/)而不是.split('\n') - 空行和空格：用户可能多敲回车或开头结尾有空格，得
.filter(line => line.trim())再.map(line => line.trim()) - CIDR掩码合法性：
/33对IPv4无效，/129对IPv6无效，需分别校验0–32和0–128 - IP格式宽松陷阱：别只用
^\d+\.\d+\.\d+\.\d+$，它会放过999.999.999.999；用^(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$更稳妥（但依然建议交给成熟库如netaddr或ipaddr.js）
最常被忽略的一点：HTTP请求的真实客户端IP可能藏在X-Forwarded-For或X-Real-IP头里，而不是req.connection.remoteAddress——尤其用了CDN或反向代理时。没处理这个，白名单形同虚设。
