Go net.IP.IsPrivate 怎样判断地址是否属于私有网络

我在给服务端日志加“内网来源”标记时，最容易犯的错误是把“地址属于私有网段”和“请求一定可信”写成同一件事。Go 的 net.IP.IsPrivate 适合做地址分类：它按 RFC 1918 判断 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，按 RFC 4193 判断 IPv6 的 fc00::/7。但它不是访问控制接口。

net.ParseIP 成功后直接调用 ip.IsPrivate()，即可得到私有地址分类结果；解析失败要单独处理，且不要把这个布尔值当成鉴权结论。

• 判断范围：只覆盖 RFC 1918 的 IPv4 私有地址和 RFC 4193 的 IPv6 唯一本地地址。
• 输入边界：net.ParseIP 返回 nil 时先停止，不能把非法文本当成公网地址。
• 安全边界：IsPrivate 是分类信号，真正的放行规则还要结合身份、网络拓扑和策略。

先把 IsPrivate 的范围看成一张分类表

这次我没有把“内网”“本机”“链路本地”混成一个标签，而是先固定判断范围。IsPrivate 对 IPv4 看三段 RFC 1918 地址，对 IPv6 看 fc00::/7。回环地址、未指定地址、组播地址等虽然也有各自的标准分类，但不因此自动变成 IsPrivate 的结果。

用 ParseIP 解析后再做一次判断

最小写法是先解析，再判断。这里把解析失败作为独立分支，是因为“无法识别”与“识别为公网”在业务上通常不是同一个结果。

package main

import (
	"fmt"
	"net"
)

func classifyAddress(text string) (bool, error) {
	// ParseIP 失败时返回 nil；先返回错误，避免把非法输入误判成公网地址。
	ip := net.ParseIP(text)
	if ip == nil {
		return false, fmt.Errorf("无法解析 IP 地址: %q", text)
	}

	// IsPrivate 按 RFC 1918 和 RFC 4193 做地址分类，不承担鉴权职责。
	return ip.IsPrivate(), nil
}

func main() {
	for _, text := range []string{"192.168.1.10", "fc00::12", "203.0.113.8", "not-an-ip"} {
		private, err := classifyAddress(text)
		// 输出分类结果；真实服务应把 err 交给输入校验或日志策略。
		fmt.Printf("%s private=%v err=%v\\n", text, private, err)
	}
}

这里的返回值只有两个层次：解析成功后得到 true 或 false，解析失败则得到错误。不要为了省一个分支写成“ip != nil && ip.IsPrivate()”，然后再把 false 解读成“输入合法且是公网地址”；如果后续需要审计，保留错误原因更稳妥。

用几组输入核对结果，而不是凭印象判断

我通常会把分类范围写成一张小表，给日志字段、请求过滤或测试用例统一口径。下表只描述 IsPrivate 的分类结果，不表示网络一定可达。

Go 的 net.IP 同时接受 4 字节 IPv4 和 16 字节 IPv6 表示；像 net.ParseIP 返回的 IPv4 映射形式也会先通过内部的 To4 识别，再按 IPv4 私有范围判断。实际代码不需要手工切片比对，更不要只看字节长度猜地址类型。

把分类结果放在安全策略之外

官方实现明确写着：IsPrivate 不描述地址的安全属性，不能用于访问控制。原因很实际：私有地址空间里仍可能有不可信租户、被代理转发的请求或配置错误；公网地址也可能经过认证网关进入系统。把 true 直接映射成“免登录”“允许管理操作”，风险会落到业务层。

更合适的做法是把它当作一个辅助字段，例如记录 source_ip_private=true，再由独立的身份认证、ACL、mTLS、网络分段或审计策略决定是否放行。指标上至少区分三类结果：解析失败、地址分类为私有、地址分类为非私有。这样排查日志时不会把输入错误和公网访问混成一类。

相关问题

127.0.0.1 是私有地址吗？

它是回环地址，是否返回 true 不应靠“看起来像内网”猜测；如果业务要识别回环，应使用 IsLoopback 这个专门的分类方法。

IsPrivate 能不能替代 CIDR 白名单？

不能。它只回答标准定义下的私有地址分类，不能表达某个组织自己的网段、租户范围或访问权限。需要白名单时，应明确维护网段规则并配合认证与审计。

最终可以把这件事记成一句话：先用 ParseIP 判断输入是否可识别，再用 IsPrivate 做标准地址分类，最后把分类结果交给真正的安全策略。官方资料：https://pkg.go.dev/net#IP.IsPrivate。