ThinkPHP的ip验证仅做基础格式校验，依赖PHP filter_var(FILTER_VALIDATE_IP)，支持IPv4/IPv6但不区分、不查可达性、不处理CIDR、不判断私有/保留地址；需显式传FILTER_FLAG_IPV4等整数flag来限定协议类型，且验证通过不等于可信IP，真实IP须从服务端获取。
ThinkPHP 的 ip 验证规则到底验什么
它只做基础格式校验，不区分 IPv4/IPv6，也不查是否真实可达。默认用 PHP 的 filter_var($value, FILTER_VALIDATE_IP)，所以行为完全取决于这个函数——比如 127.0.0.1 通过，192.168.0.256 不通过，但 0.0.0.0、255.255.255.255 都算合法。
- 不校验私有地址（如
10.0.0.1）、保留地址（如127.0.0.1）是否允许，全由你业务定 - 不支持 CIDR 网段写法（如
192.168.1.0/24），写了会直接失败 - 在 ThinkPHP 6 中，
ip规则默认同时接受 IPv4 和 IPv6；如果只想验 IPv4，得显式加参数
想只验证 IPv4 或 IPv6？必须手动指定 flag
ThinkPHP 的 ip 验证底层透传 FILTER_FLAG_IPV4 和 FILTER_FLAG_IPV6，但框架没封装成字符串选项，得用数组语法传进去。
- 只验 IPv4：
['ip', 'FILTER_FLAG_IPV4'] - 只验 IPv6：
['ip', 'FILTER_FLAG_IPV6'] - 两者都行（默认行为）：
'ip'或['ip', 'FILTER_FLAG_IPV4 | FILTER_FLAG_IPV6'] - 注意：flag 必须是整数，不能写成字符串
"FILTER_FLAG_IPV4"，否则静默失效
示例规则定义：
['client_ip', 'ip', 'FILTER_FLAG_IPV4']
验证通过 ≠ 可信，别跳过服务端 IP 获取逻辑
表单里传的 client_ip 字段，用户能随便改。真正要记录或限流用的 IP，必须从请求头或 Swoole/HTTP Server 的连接信息里取，比如 $request->ip() 或 $_SERVER['REMOTE_ADDR']。
立即学习“PHP免费学习笔记（深入）”；
- 前端 JS 拿到的
IP（如用 WebRTC）不可信，不能当表单字段提交后直接验证就入库 - 如果用了 Nginx + proxy_pass，记得配
real_ip_header X-Forwarded-For，否则$request->ip()可能拿到的是内网地址 -
ip验证规则对空值、null、非字符串类型默认返回 false，但不会自动过滤掉——得配合require或notEmpty显式约束
自定义更严格的 IP 校验时，别覆盖内置 ip 规则名
如果你需要校验是否在某网段、是否为公网地址、是否黑名单，应该写新规则名（如 public_ip），而不是重写 ip。否则会影响其他地方依赖默认行为的验证。
- 注册新规则：
Validate::extend('public_ip', function($value) { return filter_var($value, FILTER_VALIDATE_IP) && !ip_is_private($value); }); - 避免用
Validate::extend('ip', ...)，会导致全局行为突变，排查困难 - 注意
filter_var对某些畸形格式（如192.168.1.1.尾部点）判断不稳定，生产环境建议加一层正则兜底
复杂点在于：IP 验证从来不是纯格式问题，而是「谁填的」「从哪来的」「要用来干什么」三者叠加的结果。少一个环节，规则再准也没用。
