ThinkPHP 路由层无法直接在 route.php 中拦截 IP，因请求上下文未初始化；应使用闭包路由或中间件校验白名单，注意真实 IP 获取、代理配置及安全措施协同。
ThinkPHP 路由层如何拦截非白名单 IP
直接在路由定义中做 IP 拦截是可行的，但要注意：ThinkPHP 的 route.php 是「定义阶段」，不执行完整请求上下文，request()->ip() 在这里不可用。必须把判断逻辑下沉到中间件或闭包路由里。
推荐用闭包路由 + 手动校验，兼顾可读性和执行时机：
// app/route/route.php
use think\facade\Request;
Route::get('admin/dashboard', function () {
$allowed = ['192.168.1.100', '2001:db8::1'];
$clientIp = Request::ip();
if (!in_array($clientIp, $allowed)) {
abort(403, 'Forbidden by IP rule');
}
return view('admin.dashboard');
});
- 闭包内可安全调用
Request::ip()，此时请求已初始化 - 注意 IPv6 地址需显式包含在白名单中，
Request::ip()默认返回真实客户端 IP（前提是 Nginx/Apache 正确设置了X-Forwarded-For） - 避免在闭包里写复杂逻辑，仅做轻量判断；业务逻辑应移出闭包
用中间件统一管控路由 IP 访问（推荐生产环境）
闭包适合单点控制，但多个管理后台路由共用一套 IP 规则时，中间件更清晰、可复用、易维护。
创建中间件：php think make:middleware IpWhitelistMiddleware，然后在 app/middleware/IpWhitelistMiddleware.php 中写：
立即学习“PHP免费学习笔记（深入）”；
public function handle($request, \Closure $next)
{
$allowed = config('route.ip_whitelist', []);
$clientIp = $request->ip();
if (!empty($allowed) && !in_array($clientIp, $allowed)) {
return response('Forbidden', 403)->header('Content-Type', 'text/plain');
}
return $next($request);
}
- 把白名单抽到配置里：
config/route.php加'ip_whitelist' => ['127.0.0.1', '::1'] - 在
route/app.php中按需绑定：Route::group(['middleware' => 'IpWhitelistMiddleware'], function () { ... }); - 注意：如果用了 CDN 或反向代理，
$request->ip()可能取到的是代理 IP，需配合Request::realIP()或自定义获取逻辑
为什么不能只靠 Nginx 做 IP 限制
Nginx 层拦截确实更快，但 ThinkPHP 路由规则（如变量路由、正则约束、域名绑定）可能无法被 Nginx 精确识别。例如：
-
Route::get('api/v1/user/:id', 'Api/User.read')—— Nginx 很难匹配带动态参数的路径 - 同一域名下部分接口要限 IP，部分不要，Nginx 配置会迅速变得臃肿且难同步
- 需要结合登录态、角色、IP 三者联合判断时（比如“管理员+白名单IP”才放行），必须在应用层处理
所以更合理的做法是：Nginx 做粗粒度防护（如封禁恶意扫描段），ThinkPHP 中间件做细粒度、可配置、可审计的路由级控制。
常见踩坑点：真实 IP 获取失效
本地开发 127.0.0.1 没问题，一上服务器就全 403，大概率是 Request::ip() 返回了反向代理地址（如 Nginx 的 127.0.0.1）。
- 检查 Nginx 是否透传了真实 IP：
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - 确认 ThinkPHP 配置是否启用信任代理：
config/app.php中设置'trusted_proxy' => '**'（生产环境建议设为具体代理网段，如['10.0.0.0/8', '172.16.0.0/12']） - 调试时可用
dump($request->header())查看原始头信息，比盲目猜更可靠
IP 白名单不是银弹，它和 HTTPS、CSRF Token、权限校验是不同维度的安全措施，漏掉任意一环都可能让路由防火墙形同虚设。
