最可靠方式是net.ParseCIDR解析CIDR得*net.IPNet，再调用Contains判断IP归属，它自动处理IPv4/IPv6、掩码对齐与地址规范化，避免手动位运算错误；须校验输入格式、检查ParseCIDR和ParseIP返回非nil，并对IPv4-mapped IPv6调用To4()归一化。
用 net.ParseCIDR 判断 IP 是否在网段内最可靠
Go 标准库 net 包里的 net.ParseCIDR 是判断 IP 是否属于某 CIDR 网段的首选方式，它自动处理 IPv4/IPv6、掩码对齐、地址规范化等细节，避免手动位运算出错。
常见错误是直接用字符串前缀匹配（比如 strings.HasPrefix），这在 IPv4 上偶尔碰巧能用，但遇到 192.168.0.0/16 和 192.168.10.5 还行，换成 10.0.0.0/14 和 10.3.1.1 就失效——因为不是简单“开头相同”，而是要按掩码做按位与比对。
-
net.ParseCIDR返回的*net.IPNet对象自带Contains方法，直接调用即可 - 输入 IP 字符串允许带 IPv4 的点分十进制或 IPv6 的冒号十六进制格式，甚至带端口（如
[::1]:8080）也会被自动截断解析 - 网段字符串必须是标准 CIDR 形式，例如
"192.168.1.0/24"或"2001:db8::/32"；"192.168.1.0/255.255.255.0"不支持 - 如果传入非法格式，
net.ParseCIDR返回nil, error，务必检查错误，否则后续Contains会 panic
func inCIDR(ipStr, cidrStr string) bool {
_, ipNet, err := net.ParseCIDR(cidrStr)
if err != nil {
return false // 或按需返回 error
}
ip := net.ParseIP(ipStr)
if ip == nil {
return false
}
return ipNet.Contains(ip)
}
注意 IPv4 和 IPv6 地址归一化问题
Go 的 net.IP 在底层是 16 字节切片，IPv4 地址会被自动“映射”为 IPv6 格式（如 192.168.1.1 → ::ffff:192.168.1.1），但 net.ParseCIDR 解析出来的 *net.IPNet 会保持原始版本。如果网段是 IPv4 CIDR，而你传入一个 IPv6 格式的 IPv4 地址（比如从 HTTP X-Forwarded-For 拿到的 ::ffff:192.168.1.100），Contains 会返回 false——尽管语义上它属于该网段。
- 解决办法：对输入 IP 调用
ip.To4()尝试转成 IPv4；若返回非 nil，再用它参与判断 - 或者统一用
ip.To16()转成 16 字节形式，但要注意 CIDR 网段也得是 IPv6 格式才能匹配成功 - 更稳妥的做法是在解析前先标准化：若 CIDR 是 IPv4（含
.），则强制把 IP 转成 IPv4；反之亦然
性能敏感场景下避免重复解析 CIDR
如果同一个网段要校验成百上千个 IP（比如做访问控制中间件），每次调用 net.ParseCIDR 都会重新解析字符串、计算掩码、构造 *net.IPNet，开销不小。
立即学习“go语言免费学习笔记（深入）”；
- 应该把
net.ParseCIDR结果缓存起来，例如定义一个结构体持有一个预解析的*net.IPNet - 不要用
map[string]*net.IPNet缓存，因为不同写法的 CIDR（如"10.0.0.0/8"和"10.0.0.0/255.0.0.0"）无法直接比较，且后者不被ParseCIDR支持 - 可以封装成函数闭包：
func makeInCIDR(cidrStr string) (func(string) bool, error)，内部只解析一次
边界情况：广播地址、网络地址、主机位全零/全一
net.IPNet.Contains 的行为完全遵循 RFC，它判断的是 IP 是否落在该网段的“地址范围”内，包括网络地址（如 192.168.1.0）和广播地址（如 192.168.1.255）。也就是说，只要符合 CIDR 定义的数学范围，就返回 true。
- 如果你业务中需要排除网络地址和广播地址（例如只允许主机地址），得额外判断：
ip.Equal(ipNet.IP) || ip.Equal(broadcastIP) - 计算广播地址：对
ipNet.IP和ipNet.Mask取反后做按位或，Go 没有内置方法，需手算 - 注意：IPv6 没有传统意义的“广播地址”，所以该检查仅对 IPv4 有意义
真正容易被忽略的不是算法本身，而是 CIDR 字符串来源是否可信——用户可控输入（如 URL 参数、配置文件）必须校验格式，否则 net.ParseCIDR 失败会导致静默拒绝或 panic，而不是明确报错。
