Go需自写IP白名单中间件：优先从X-Real-IP或X-Forwarded-For取可信真实IP，过滤私有/无效地址后查map[string]struct{}实现O(1)校验，禁用不可信的r.RemoteAddr。
怎么用 net/http 中间件做 IP 白名单
Go 没有内置“IP 白名单”中间件，得自己写一个 http.Handler 包裹逻辑。核心是读取请求真实 IP，再查是否在允许列表里——但别直接信 r.RemoteAddr，它可能是代理后端看到的内网地址或带端口的字符串（比如 127.0.0.1:54213）。
实操建议：
- 优先从
X-Forwarded-For或X-Real-IP头取 IP，但必须确认你上游有可信反向代理（如 Nginx），否则这个头可被客户端伪造 - 用
net.ParseIP()解析后，再用ip.IsGlobalUnicast()过滤掉私有地址、回环、IPv6 链路本地等无效值 - 白名单存成
map[string]struct{}，查 O(1)，别用切片遍历 - 示例片段：
func ipWhitelist(next http.Handler, allow map[string]struct{}) http.Handler { return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { ip := getRealIP(r) if _, ok := allow[ip]; !ok { http.Error(w, "Forbidden", http.StatusForbidden) return } next.ServeHTTP(w, r) }) }
为什么 RemoteAddr 不能直接当白名单依据
因为 r.RemoteAddr 是 TCP 连接来源地址，在有 Nginx / Cloudflare / ALB 等代理时，它永远是代理机器的内网 IP（比如 10.0.1.100:32984），不是用户真实出口 IP。更糟的是，它带端口号，直接比对会失败。
常见错误现象：
立即学习“go语言免费学习笔记（深入）”；
- 本地开发直连时看似正常，一上生产就全拦住——因为 Nginx 转发后
RemoteAddr变了 - 写了
strings.Split(r.RemoteAddr, ":")[0]去掉端口，但 IPv6 地址含多个冒号（如[2001:db8::1]:8080），导致 panic 或截断错误 - 没校验 IP 格式，攻击者传个
X-Forwarded-For: 127.0.0.1, <script>...</script>就绕过（虽然后端一般不会解析这种，但松散处理可能误判）
如何安全提取真实客户端 IP
没有银弹，取决于你部署结构。关键是：只信任你可控的最外层代理加的头，并且只取第一个有效 IP。
使用场景与选择：
- 纯 Go 服务直面公网 → 用
r.RemoteAddr，但先用net.SplitHostPort()安全拆解，再net.ParseIP() - Nginx 在前，配置了
proxy_set_header X-Real-IP $remote_addr;→ 读r.Header.Get("X-Real-IP") - Cloudflare 或多层代理 → 读
X-Forwarded-For，取逗号分隔后的第一个非私有 IP（注意顺序：最左是原始客户端，右是各级代理） - 务必跳过私有网段：
10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、127.0.0.0/8、::1/128等，避免代理伪造
白名单支持 CIDR 网段匹配吗？怎么加
标准 map 查找不支持网段，硬编码 "192.168.1.0/24" 当 key 没用。要支持 CIDR，得换数据结构和判断逻辑。
性能与实现权衡：
- 小规模（*net.IPNet 存切片，循环用
ipNet.Contains(clientIP)判断——简单够用 - 大规模或高频调用：用第三方库如
github.com/c-robinson/iplib的IPSet，底层是前缀树，查 O(log n) - 别把
/32单 IP 和网段混在同个切片里反复解析，提前统一转*net.IPNet - 示例判断：
for _, net := range allowedNets { if net.Contains(clientIP) { return true } }
真正麻烦的从来不是写几行代码，而是搞清你流量路径上有几个代理、谁在加什么头、谁可能伪造——这些信息错一点，白名单就形同虚设。
