应优先读X-Real-IP，再fallback X-Forwarded-For最左非私有IP（需校验请求来源在可信代理网段），最后用RemoteAddr并拆解端口；所有IP须net.ParseIP解析，网段匹配必须用net.IPNet.Contains。
怎么从 HTTP 请求里安全提取真实客户端 IP
你拿到的 r.RemoteAddr 几乎总是反向代理（Nginx / ALB / Cloudflare）的内网地址，不是用户真实出口 IP。直接用它做黑名单判断，上线就失效。
正确做法是按可信链路降级取值，并校验来源是否在你可控的代理网段内：
- 优先读
r.Header.Get("X-Real-IP")：前提是 Nginx 已配proxy_set_header X-Real-IP $remote_addr，伪造成本高，最可靠 - fallback 到
r.Header.Get("X-Forwarded-For")：取逗号分隔后的第一个非私有 IP（如"203.208.60.1, 192.168.1.5"取"203.208.60.1"），但必须先确认请求来源 IP 属于你配置的可信代理段（如"203.208.60.0/24"） - 最后才用
r.RemoteAddr：需先调net.SplitHostPort拆解，再用net.ParseIP提取纯 IP；仅限本地调试直连场景 - 所有字符串 IP 必须经
net.ParseIP解析后再使用；未解析就传给net.IPNet.Contains会静默返回 false
为什么不能用 strings.HasPrefix 匹配 CIDR 网段
字符串前缀匹配在 IPv6 下完全不可靠："2001:db8::1" 属于 "2001:db8::/32"，但 strings.HasPrefix("2001:db8::1", "2001:db8::") 返回 true；而 "2001:db8:1::1" 不属于该网段，也可能被误判。
正确做法是统一用 net.ParseCIDR 解析配置项；失败则 fallback 到 net.ParseIP 并构造 /32（IPv4）或 /128（IPv6）子网：
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 预加载时把每个 CIDR 字符串转成
*net.IPNet，缓存为[]*net.IPNet - 运行时调用
ipnet.Contains(ip)—— 它自动处理 IPv4-mapped IPv6（如::ffff:192.168.1.1）和掩码对齐 -
net.IPNet.Contains对 IPv4 和 IPv6 严格区分：一个/24的 IPv4 网段不会匹配 IPv6 地址，测试时别混用127.0.0.1和::1
黑名单数据结构选 map[string]struct{} 还是 net.IPNet 切片
两者用途不同，不能互换：
- 单 IP 黑名单（如
"192.168.1.100"、"2001:db8::1"）：用map[string]struct{}，O(1) 查询、零 GC 压力、热更新简单。初始化：blacklist := make(map[string]struct{})；判断：_, blocked := blacklist[ip.String()] - CIDR 网段黑名单（如
"192.168.0.0/16"、"2001:db8::/32"）：必须用[]*net.IPNet，遍历调ipnet.Contains(ip)。条目少于 1000 条时性能足够；超过则考虑布隆过滤器或 trie - 别用
[]string遍历查找——1000 条平均 500 次字符串比较，QPS 上千时毛刺明显 - 别用
sync.Map——除非每秒增删上千次，否则比普通map+sync.RWMutex更慢、更占内存
黑白名单逻辑优先级与短路判断怎么写才安全
黑名单必须先于白名单检查；否则一个被黑名单禁止的 IP 可能因同时命中白名单而放行——这是典型逻辑漏洞。
显式定义决策流，按顺序短路执行：
- 先查黑名单：命中则立即
http.Error(w, "Forbidden", http.StatusForbidden)并 return - 再查白名单：仅在黑名单未命中时生效；命中则放行（
next.ServeHTTP(w, r)） - 其余全部拒绝：不写默认放行，避免“不在白名单就拦”或“不在黑名单就放”的模糊策略
- 避免写成
if inWhitelist && !inBlacklist这类耦合条件——可读性差，且易在新增规则时引入否定逻辑错误
真实部署中，最容易被忽略的是可信代理网段配置和 CIDR 解析失败的 fallback 处理。哪怕只漏掉一次 net.ParseIP 校验，或者把 X-Forwarded-For 当作可信输入直接切片，攻击者就能绕过整个黑名单。
