本文介绍如何在 php 中高效判断两个 ipv4 或 ipv6 cidr 表示的 ip 地址是否属于同一子网，提供兼容 ipv4 的原生函数实现及基于 symfony 的 ipv6 安全方案，并附带关键原理说明与使用注意事项。
本文介绍如何在 php 中高效判断两个 ipv4 或 ipv6 cidr 表示的 ip 地址是否属于同一子网，提供兼容 ipv4 的原生函数实现及基于 symfony 的 ipv6 安全方案，并附带关键原理说明与使用注意事项。
在实际网络服务开发中（如访问控制、多租户隔离、安全审计等场景），常需验证两个 IP 地址（含子网前缀）是否归属同一逻辑网络。例如：192.168.1.10/24 与 192.168.1.130/24 属于同一子网，而 192.168.1.10/24 和 192.168.10.130/24 则不属于——尽管它们掩码相同，但网络地址不同。
✅ IPv4 子网匹配（纯原生实现）
以下函数 cidr_match() 接收一个目标 IP 和一个 CIDR 字符串（如 '192.168.1.0/24'），通过位运算快速判断该 IP 是否落在指定子网内：
function cidr_match($ip, $cidr): bool
{
if (!filter_var($ip, FILTER_VALIDATE_IP) || !preg_match('/^[\d.]+\/\d{1,2}$/', $cidr)) {
return false;
}
[$subnet, $mask] = explode('/', $cidr);
// 验证 CIDR 掩码范围（IPv4 为 0–32）
$mask = (int)$mask;
if ($mask < 0 || $mask > 32) {
return false;
}
$ipLong = ip2long($ip);
$subnetLong = ip2long($subnet);
// 计算子网掩码：如 /24 → 0xFFFFFF00
$maskLong = -1 << (32 - $mask);
return ($ipLong & $maskLong) === ($subnetLong & $maskLong);
}? 原理简析：
ip2long()将点分十进制 IP 转为 32 位整数；-1 生成对应网络掩码（如 <code>/24得0xFFFFFF00）；再对 IP 和子网地址分别执行按位与，结果相等即表示属同一子网。
✅ 使用示例：
立即学习“PHP免费学习笔记（深入）”；
var_dump(cidr_match('192.168.1.130', '192.168.1.0/24')); // true
var_dump(cidr_match('192.168.10.130', '192.168.1.0/24')); // false? IPv6 支持（推荐使用成熟组件）
PHP 原生 ip2long() 不支持 IPv6，且 IPv6 地址位长为 128 位，手动位运算易出错。建议使用经过广泛测试的组件，如 Symfony 的 HttpFoundation 提供的 IpUtils：
composer require symfony/http-foundation
use Symfony\Component\HttpFoundation\IpUtils;
// 判断单个 IPv6 或 IPv4 地址是否属于某 CIDR 网络
$inSubnet = IpUtils::checkIp('2001:db8::1', '2001:db8::/64'); // true
$inSubnet = IpUtils::checkIp('192.168.5.10', '192.168.0.0/16'); // true
// 支持多个 CIDR 匹配（数组形式）
$allowedNetworks = ['10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16', '2001:db8::/32'];
$inAny = IpUtils::checkIp('192.168.25.42', $allowedNetworks); // trueIpUtils::checkIp() 内部自动识别协议版本、校验格式、处理压缩 IPv6（如 ::1）、支持 CIDR 和地址范围（如 192.168.1.0-192.168.1.255），是生产环境首选。
⚠️ 注意事项与最佳实践
-
输入校验不可省略：始终用
filter_var($ip, FILTER_VALIDATE_IP)或IpUtils::isValid()预检 IP 合法性，避免ip2long(false)返回false导致逻辑错误； -
CIDR 格式需规范：确保子网地址（如
192.168.1.0/24）中的网络部分已归零（即为真实网络地址），否则cidr_match()可能误判；可借助ip2long()+ 掩码二次规整； -
IPv6 生产环境务必用组件：自行实现易忽略边界情况（如
::/0、嵌入式 IPv4 地址::ffff:192.0.2.1）； -
性能考量：原生函数适用于高频 IPv4 判断；若项目已引入 Symfony 组件，统一使用
IpUtils更利于维护和扩展。
综上，针对 IPv4 场景可直接采用优化后的 cidr_match() 函数；涉及 IPv6 或混合协议时，请优先集成 symfony/http-foundation 并启用其 IpUtils 工具类，兼顾健壮性、可读性与长期可维护性。
