Nginx IP白名单本质是“先放行、再兜底拒绝”，需将allow置于location或server块内、deny all收尾，代理环境须用real_ip_module还原真实IP，并推荐用include或geo管理白名单。
用 allow 指令配置 IP 白名单，本质不是“加白”，而是“先放行、再兜底拒绝”。关键不在写了多少条 allow，而在于顺序、位置和真实 IP 的识别是否准确。
必须写在 location 或 server 块里
allow 和 deny 只在 http、server、location 这三个作用域生效。常见错误是把它们塞进 if 块、upstream 或 events 里——Nginx 会直接忽略，不报错也不执行。
- 限制后台路径？写在
location /admin/ { ... }里 - 整站只允某些内网访问？写在
server { ... }块开头 - 不能这样写：
if ($uri ~ "/admin/") { allow 10.20.0.0/16; }——语法通过，但无效
顺序不能错：allow 在前，deny all 必须收尾
Nginx 按行从上到下匹配，命中即停。白名单逻辑是“只放行列出的，其余一律拦掉”，所以：
- 所有
allow行必须连续写在前面，每行一个 IP 或 CIDR（如allow 10.20.0.0/16;、allow 2001:db8::/32;） -
deny all;必须是该块中最后一条访问控制指令 - 漏掉
deny all;→ 未匹配的请求默认放行，白名单完全失效 - 把
deny all;写在allow前面 → 所有请求第一步就被拒，后面allow形同虚设
代理环境下必须还原真实客户端 IP
如果 Nginx 前面有 SLB、CDN、Traefik 或另一层 Nginx，$remote_addr 是代理节点的地址，不是用户真实出口 IP。此时 allow 判的全是代理 IP，规则等于没设。
- 启用
real_ip_module（通常已编译，默认可用） - 在
http或server块中添加：set_real_ip_from 10.0.0.0/8;<br>set_real_ip_from 172.16.0.0/12;<br>real_ip_header X-Forwarded-For;
（set_real_ip_from的值要替换成你实际可信代理的网段） - 确认上游代理确实透传了
X-Forwarded-For，且做了清洗（防止伪造） - 还原后，
allow指令才真正作用于客户端真实 IP
提升可维护性：用 geo + include 管理白名单
当运维网段多、变更频繁时，硬编码在每个 location 里难维护。推荐拆出独立文件：
- 新建
/etc/nginx/conf.d/whitelist.conf，内容为：allow 10.20.0.0/16;<br>allow 172.16.100.0/24;<br>allow 192.168.5.10;
- 在对应
location中引用：location /admin/ {<br> include /etc/nginx/conf.d/whitelist.conf;<br> deny all;<br>} - 更高级场景可用
geo指令预定义变量，配合if或map实现分组策略或动态响应
