net.ParseIP不能判断IP是否在网段内，它仅解析字符串为net.IP或返回nil；正确做法是用net.ParseCIDR解析CIDR得*net.IPNet，再调用Contains方法判断归属，需预解析缓存、校验输入、处理IPv4-mapped IPv6等边界情况。
net.ParseIP 不能直接判断 IP 是否在网段内
net.ParseIP 只做字符串解析，返回 *net.IP 或 nil，它不处理子网掩码、CIDR 表示或网络地址计算。拿它校验白名单，等于只做了“是不是合法 IP”这一步，完全跳过了“是否属于某网段”的核心逻辑。
常见错误是这样写：
ip := net.ParseIP("192.168.1.100")
if ip != nil && ip.String() == "192.168.1.0/24" { ... } // ❌ 完全无效：IP.String() 永远不会返回 CIDR
-
net.IP.String()输出的是点分十进制（如"192.168.1.100"），不是 CIDR 格式 - 白名单通常是一组 CIDR（如
"10.0.0.0/8"、"172.16.0.0/12"），必须用net.IPNet才能做包含判断 - 直接比较字符串或逐段解析 IPv4 字节，既易错又无法兼容 IPv6
正确做法：用 net.ParseCIDR + IPNet.Contains
白名单校验的关键路径是：把 CIDR 字符串转成 *net.IPNet，再用其 Contains 方法判断目标 IP 是否在其范围内。
示例代码片段：
立即学习“go语言免费学习笔记（深入）”；
func inWhitelist(ipStr string, cidrList []string) bool {
ip := net.ParseIP(ipStr)
if ip == nil {
return false
}
for _, cidrStr := range cidrList {
_, ipnet, err := net.ParseCIDR(cidrStr)
if err != nil {
continue // 忽略非法 CIDR，如 "192.168.1.0/33"
}
if ipnet.Contains(ip) {
return true
}
}
return false
}
-
net.ParseCIDR同时解析 IP 和掩码，返回*net.IP（网络地址）和*net.IPNet -
ipnet.Contains(ip)内部已处理 IPv4/IPv6 地址长度、掩码对齐、前缀比较，无需手动位运算 - 注意：传入的
cidrStr必须是标准格式，如"::1/128"、"0.0.0.0/0"，不支持"192.168.1.*"这类通配符
性能敏感场景要预解析 CIDR 列表
每次校验都调用 net.ParseCIDR 是低效的——它内部要做字符串分割、进制转换、掩码验证。白名单一般固定，应提前解析并缓存 *net.IPNet 切片。
优化后结构：
type IPWhitelist struct {
nets []*net.IPNet
}
func NewIPWhitelist(cidrs []string) *IPWhitelist {
var nets []*net.IPNet
for _, c := range cidrs {
_, ipnet, err := net.ParseCIDR(c)
if err == nil {
nets = append(nets, ipnet)
}
}
return &IPWhitelist{nets: nets}
}
func (w *IPWhitelist) Contains(ipStr string) bool {
ip := net.ParseIP(ipStr)
if ip == nil {
return false
}
for _, net := range w.nets {
if net.Contains(ip) {
return true
}
}
return false
}
- 避免重复解析；
net.ParseCIDR在 Go 1.22 中平均耗时约 300ns，千次调用就是 300μs，不可忽视 - 如果白名单动态更新，需加锁或用原子替换（
atomic.Value），但注意*net.IPNet是不可变结构，安全共享 - IPv6 地址比较比 IPv4 略慢，但
Contains已高度优化，不用额外区分
边界情况：IPv4 映射的 IPv6 地址容易漏判
客户端可能传 "::ffff:192.168.1.100" 这类 IPv4-mapped IPv6 地址，而白名单只写了 "192.168.1.0/24"。此时 ipnet.Contains(ip) 默认返回 false，因为 IPv6 网络和 IPv4 网络不互通。
- Go 的
*net.IPNet.Contains严格按地址族匹配：IPv4 CIDR 只匹配 IPv4 IP，IPv6 CIDR 只匹配 IPv6 IP - 若需兼容映射地址，有两种选择：
– 白名单同时加入"::ffff:192.168.1.0/120"（IPv4-mapped 前缀长度为 120）
– 入口处统一将 IPv4-mapped IPv6 转回 IPv4：ip.To4()，但要注意ip.To4() != nil才能安全转换 - 更稳妥的做法是白名单本身包含双栈表示，例如同时配置
"192.168.1.0/24"和"fd00::/8"，而非依赖自动映射
"FE80::1/64"（net.ParseCIDR 对大小写不敏感，但某些中间件会截断），建议初始化时就 panic 或 log error，别留到请求时才发现。 
