最常用方法是用 net.IPNet.Contains 判断 IP 是否在网段内，需先用 net.ParseIP 解析 IP、net.ParseCIDR 解析 CIDR，注意 IPv4/IPv6 归一化及真实 IP 提取（如 X-Forwarded-For），避免字符串匹配错误。
用 net.IPNet 判断 IP 是否在网段内（最常用场景）
Go 标准库没有现成的“IP 黑白名单中间件”，但核心逻辑就落在 net.IPNet.Contains 上。它支持 IPv4 和 IPv6，且能正确处理 CIDR 表示的网段（如 "192.168.1.0/24" 或 "2001:db8::/32"），比字符串前缀匹配或正则更可靠。
常见错误是直接用 strings.HasPrefix 去比对 IP 字符串，这在 IPv6 下极易出错（比如 "2001:db8::1" 不属于 "2001:db8::/64" 却可能被误判匹配）；或者忽略 IPv4-mapped IPv6 地址（::ffff:192.168.1.1）的归一化处理。
实操建议：
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 接收客户端 IP 时，先用
net.ParseIP解析，再调用.To4()或.To16()统一格式，避免因格式不一致导致Contains返回 false - 预加载黑白名单时，把每个 CIDR 字符串用
net.ParseCIDR解析为*net.IPNet，缓存起来，别每次请求都解析 - 注意：一个 IP 可能同时匹配多个网段，黑白名单逻辑需明确定义优先级（例如“黑名单优先”还是“白名单优先”）
HTTP 中间件里快速拦截非法 IP（gin / echo / net/http）
在 Web 框架中做 IP 拦截，关键不是“怎么写中间件”，而是“从哪取真实 IP”。直接读 r.RemoteAddr 只能得到下游代理地址，不是用户真实 IP。
立即学习“go语言免费学习笔记（深入）”；
实操建议：
- 优先信任
X-Forwarded-For头第一个非私有 IP（需结合你自己的反向代理配置判断可信跳数），并用net.ParseIP解析后校验是否为有效 IP - 务必校验 IP 是否为私有地址（
127.0.0.0/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、fd00::/8等），防止伪造头绕过 - 示例逻辑片段：
ip := parseRealIP(r) for _, white := range whiteNets { if white.Contains(ip) { return next(rw, r) // 放行 } } http.Error(rw, "Forbidden", http.StatusForbidden)
高性能黑白名单需用 trie 或 bitmap（万级规则以上）
当黑白名单条目超过几千条，且每秒请求数很高时，遍历 []*net.IPNet 的 O(n) 查找会成为瓶颈。此时标准库的线性扫描不够用。
实操建议：
- IPv4 场景下，可用
github.com/cilium/ipam或轻量级github.com/tomasen/realip的辅助结构，但更推荐自己用uint32bitmap + 前缀长度分桶（/24 网段可映射到数组索引） - IPv4/IPv6 统一场景，用
github.com/google/gopacket/routing的路由表结构，或封装golang.org/x/net/ipv4的查找逻辑 - 切忌在高并发路径上做
fmt.Sprintf、strings.Split或新建net.IPNet实例——这些分配会触发 GC 压力
测试时容易漏掉的边界情况
本地开发常只测 127.0.0.1，上线后才发现一堆没覆盖的 case。
必须验证的点：
- IPv6 地址：包括压缩格式（
::1）、带端口（[::1]:8080）、IPv4-mapped（::ffff:192.168.1.100） - CIDR 边界值：比如
192.168.1.255/24应该属于该网段，但手动算错掩码易误判 - 空名单或全零 IP（
0.0.0.0、::）——某些 ParseIP 会返回 nil，不检查会导致 panic - 重复加载相同网段：不 dedup 可能导致逻辑异常，尤其动态更新名单时
真正难的不是写对一个 IP 判断，而是让这套逻辑在 IPv4/IPv6 混合、代理多层、规则动态增删的生产环境里不掉链子。网段解析、IP 归一化、头字段信任链，这三个地方出问题的概率远高于 Contains 调用本身。
