应优先用 $request->server('REMOTE_ADDR') 并结合 TRUSTED_PROXIES 校验，白名单存配置文件支持 CIDR，拦截时返回 response('Forbidden', 403) 而非 abort(403)，Nginx 需透传真实 IP 且信任其地址。
中间件里怎么判断请求IP是否在白名单
直接用 $request->ip() 拿到客户端IP，但注意它可能被代理污染；更稳妥的是读 $request->server('REMOTE_ADDR')，再结合 TRUSTED_PROXIES 配置决定是否信任 X-Forwarded-For。白名单建议存在配置文件或环境变量里，别硬编码。
常见错误是只比对字符串，没处理 CIDR（比如 192.168.1.0/24）或 IPv6 地址段。Laravel 自带的 Illuminate\Http\Request::ipIs() 不支持 CIDR，得自己补：
- 用
filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)先校验格式 - CIDR 匹配推荐用
ip_in_range($ip, $cidr)这类轻量函数，不要引入大包 - 白名单数组里混写
'127.0.0.1'和'10.0.0.0/8'是可以的，但解析逻辑要统一
Laravel 10+ 中间件里如何正确拦截非白名单请求
别用 abort(403) 粗暴终止——它会跳过后续中间件，且无法自定义响应头或日志上下文。应该返回一个 Response 实例，比如：
return response('Forbidden', 403)
->header('X-Content-Type-Options', 'nosniff');
使用场景上，IP 限制中间件通常放在路由中间件组里，但要注意顺序：必须在 EncryptCookies、StartSession 之后（它们不依赖 IP），但在 VerifyCsrfToken 之前（避免无效请求浪费 CSRF 校验开销）。
- 如果用了 API 路由，记得把中间件加到
api中间件组，而不是web - 本地开发时，
APP_ENV=local下建议自动放行127.0.0.1和::1，避免反复改配置 - 别在中间件里查数据库做白名单判断，性能扛不住；缓存用
Cache::rememberForever()加载一次就够了
为什么 $request->ip() 在 Nginx + PHP-FPM 下经常拿错
根本原因是 Nginx 默认不透传真实 IP，PHP 收到的 REMOTE_ADDR 是 Nginx 本机地址（比如 127.0.0.1）。必须在 Nginx 配置里显式设置：
Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。
proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
然后 Laravel 才能通过 $request->ip() 正确拿到原始 IP——前提是 config/trustedproxy.php 或 TRUSTED_PROXIES 环境变量里填了 Nginx 的 IP（如 127.0.0.1）。
- 漏配
TRUSTED_PROXIES是最常踩的坑，会导致$request->ip()返回0.0.0.0或空字符串 - 云服务（如 AWS ALB、Cloudflare）需要额外信任它们的 IP 段，不能只写
127.0.0.1 -
X-Forwarded-For可被客户端伪造，所以必须配合TRUSTED_PROXIES做链路校验，不能无条件信任
IP 白名单配置该放哪、怎么热更新
配置项必须进 config/ip-whitelist.php 文件，而不是 .env —— 因为 IP 列表通常是结构化数据（数组/CIDR），.env 只适合扁平键值对。内容长这样就行：
return [
'allowed' => [
'127.0.0.1',
'192.168.0.0/16',
'2001:db8::/32',
],
];
热更新靠 Laravel 的配置缓存机制：改完运行 php artisan config:clear 即可，不用重启 FPM。但如果用 APCu 或 Redis 缓存了白名单本身，就得手动清对应 key。
- 别把白名单塞进数据库——除非你有后台动态管理需求，否则纯配置更稳更快
- 配置里别用注释说明“测试环境放开”，Laravel 不解析 PHP 注释；用条件判断：
app()->environment('local') ? ['127.0.0.1'] : config('ip-whitelist.allowed') - 上线前务必用
curl -H "X-Forwarded-For: 1.2.3.4" http://yoursite.com/test模拟外部请求验证
真正麻烦的是混合网络环境：既有直连用户，又有经过多层代理的 API 调用，这时候 IP 校验逻辑得按请求头特征分流，不能一刀切。
