Go netip.Addr.IsGlobalUnicast 怎样筛选全局单播地址

用 Go 判断一个 IP 是否属于全局单播，直接调用 netip.Addr.IsGlobalUnicast() 即可；但这个名字很容易被误解成“公网可访问”。它判断的是地址类别，不负责探测网络是否可达，也不代替业务授权。实际代码应先用 netip.ParseAddr 解析文本，再把 IsGlobalUnicast 与私有、链路本地、组播等更具体的判断分开记录。

官方文档：https://pkg.go.dev/net/netip#Addr.IsGlobalUnicast

IsGlobalUnicast 判断的核心边界

netip.Addr 是可比较、不可变的地址值类型。解析阶段的错误和分类阶段的 false 要分开处理：前者说明文本不是合法地址，后者说明地址对象不满足这个分类条件。

package main

import (
    "fmt"
    "net/netip"
)

// classifyAddr 只做地址语义分类，不执行网络探测或权限判断。
func classifyAddr(text string) (string, error) {
    // ParseAddr 失败代表输入格式有问题，不能把它当成普通的 false。
    addr, err := netip.ParseAddr(text)
    if err != nil {
        return "invalid-input", err
    }

    // 先判断全局单播，再补充更具体的标签，便于业务层组合策略。
    if !addr.IsGlobalUnicast() {
        if addr.IsLinkLocalUnicast() {
            return "link-local", nil
        }
        if addr.IsMulticast() {
            return "multicast", nil
        }
        return "non-global-unicast", nil
    }
    if addr.IsPrivate() {
        return "global-unicast-private", nil
    }
    return "global-unicast", nil
}

func main() {
    // 这些样例覆盖正常地址、私有地址、链路本地和组播边界。
    for _, text := range []string{"8.8.8.8", "192.168.1.10", "fd00::10", "fe80::1", "224.0.0.1"} {
        label, err := classifyAddr(text)
        if err != nil {
            fmt.Println(text, "parse error:", err)
            continue
        }
        fmt.Println(text, label)
    }
}

IPv4、IPv6 和私有地址要分开看

官方文档对 IsGlobalUnicast 的定义比“公网 IP”宽。IPv4 私有地址，例如 192.168.1.10，以及 IPv6 唯一本地地址，例如 fd00::10，仍可能被判定为全局单播；这表示它们属于单播地址语义，不表示能从互联网访问。

相反，链路本地地址 fe80::1 需要网卡作用域才能使用，组播地址如 224.0.0.1 也不是单播目标。零值 netip.Addr{} 则表示未初始化的地址，IsGlobalUnicast 返回 false。可以用表格把几个判断维度固定下来：

这里的 global-unicast-private 是为了给上层策略留下明确分支：地址属于单播，但仍需要结合租户网络、路由和安全规则决定是否允许使用。

不要把全局单播当成公网可达

筛选地址时，建议把判断拆成三层。第一层是语法：ParseAddr 是否成功；第二层是语义：地址是否有效、是否单播、是否私有或链路本地；第三层才是网络状态和业务授权，例如路由是否存在、端口是否监听、ACL 是否放行。

因此，下面这种写法是不够的：

// 只凭 IsGlobalUnicast 放行请求，会把地址分类误当成授权结果。
if addr.IsGlobalUnicast() {
    allowRequest(addr)
}

更稳妥的做法是让分类函数返回结构化标签，再由业务策略决定是否放行。尤其是 IPv4-mapped IPv6 地址，升级到当前受支持的 Go 修订版本，并在兼容测试中覆盖 Unmap 后的行为；历史上标准库的地址分类方法曾有过映射地址判断修复。

落地前的检查清单

1. 解析失败、零值和明确的未指定地址是否有独立分支。
2. 是否同时记录 IsPrivate、IsLinkLocalUnicast、IsMulticast 等具体标签。
3. 是否把地址类别、网络可达性和业务授权分成不同函数或策略层。
4. 是否为 IPv4、IPv6、IPv4-mapped IPv6 和带 zone 的地址准备测试样例。

常见问题

IsGlobalUnicast 返回 true，就一定是公网 IP 吗？

不是。私有 IPv4 和 IPv6 唯一本地地址仍可能返回 true；它只说明地址符合全局单播的语义定义，不能证明公网可达。

为什么不直接用 IsPrivate 判断能否访问？

IsPrivate 只描述 RFC 地址范围，也不等同于安全属性。是否允许访问要结合路由、监听端口、ACL 和业务身份判断。