Go net/netip怎样判断地址是否属于指定网段为什么结果为空或不符合预期

Go 里判断一个地址是否属于指定网段，核心调用是 prefix.Contains(ip)。结果为空或不符合预期时，通常不是 Contains 自己“算错了”，而是前面的解析错误被忽略、IPv4 与 IPv6 前缀混用，或者输入带有 IPv4 映射和 IPv6 zone。正确顺序是：分别解析 CIDR 与 IP，检查错误和有效性，必要时归一化，再调用 Contains。

先把地址和前缀分别解析，再检查有效性

netip 的 Addr 和 Prefix 都是值类型，但这不代表输入一定有效。解析失败时，返回值可能是零值；零值 Addr 不是 0.0.0.0，也不会被任何前缀包含。第一步应把两条错误路径分开，错误信息也要保留原始输入。

package main

import (
	"fmt"
	"net/netip"
)

func inPrefix(cidr, rawIP string) (bool, error) {
	// 先解析 CIDR，避免把格式错误留到 Contains 阶段才发现。
	prefix, err := netip.ParsePrefix(cidr)
	if err != nil {
		return false, fmt.Errorf("解析网段 %q 失败: %w", cidr, err)
	}
	// 再解析待判断的地址，并保留原始错误上下文。
	ip, err := netip.ParseAddr(rawIP)
	if err != nil {
		return false, fmt.Errorf("解析地址 %q 失败: %w", rawIP, err)
	}
	if !prefix.IsValid() || !ip.IsValid() {
		return false, fmt.Errorf("地址或网段不是有效的 netip 值")
	}
	// Masked 只负责得到便于日志和比较的规范网段。
	prefix = prefix.Masked()
	return prefix.Contains(ip), nil
}

func main() {
	// 该示例返回 true；生产代码应根据 error 决定是否拒绝请求。
	ok, err := inPrefix("192.168.1.0/24", "192.168.1.20")
	fmt.Println(ok, err)
}

这里不要只写 ip, _ := netip.ParseAddr(rawIP)。一旦上游传入空字符串、带端口的文本或拼接错误的 IPv6，后面看到的 false 只说明“没有包含”，并不能说明真正原因。

结果不符合预期时，按地址族和规范化顺序排查

Prefix.Contains 会检查地址是否落在该网络中，并且严格区分地址族。IPv4 地址不会匹配 IPv6 前缀；IPv4-mapped IPv6 仍按 IPv6 看待，也不会自动当成 IPv4。若业务输入可能来自双栈 socket，可以在边界处明确采用 ip.Unmap()，不要在函数内部悄悄改变语义。

还有一个容易混淆的点：ParsePrefix("192.168.1.99/24") 接受的是 CIDR 前缀，但被掩掉的主机位不会自动从原始 Prefix.Addr() 中清零。需要展示或持久化网络地址时调用 Masked()；不要把日志里的非规范地址当成 Contains 的判定依据。

把网段判断封装成可复用的检查函数

如果输入来自 HTTP、配置文件或代理头，建议把地址族策略写在一个边界函数里。下面的版本把 IPv4-mapped IPv6 统一还原为 IPv4，同时拒绝带 zone 的 IPv6，调用方拿到的错误可以直接进入日志或参数校验。

func containsIPv4Network(cidr, raw string) (bool, error) {
	// 该函数只接受无 zone 的 IPv4 语义，避免双栈规则被隐式改变。
	p, err := netip.ParsePrefix(cidr)
	if err != nil {
		return false, fmt.Errorf("网段无效: %w", err)
	}
	ip, err := netip.ParseAddr(raw)
	if err != nil {
		return false, fmt.Errorf("地址无效: %w", err)
	}
	if ip.Is4In6() {
		// 映射地址先还原，随后按 IPv4 前缀执行 Contains。
		ip = ip.Unmap()
	}
	if ip.Zone() != "" {
		return false, fmt.Errorf("不接受带 zone 的地址 %q", raw)
	}
	if !p.IsValid() || !ip.IsValid() || !p.Addr().Is4() || !ip.Is4() {
		return false, fmt.Errorf("需要有效的 IPv4 地址和 IPv4 网段")
	}
	return p.Masked().Contains(ip), nil
}

测试时至少放入网段首地址、末地址、网段外地址、错误 CIDR、IPv6 地址、映射地址和带 zone 地址。这样失败结果会落在“解析错误、地址族不一致、输入策略拒绝、确实不在网段”四类之一，而不是只留一个难以解释的 false。

用最小回归表确认 Contains 的边界行为

排查完成后，用表格驱动测试固定规则：192.168.1.0/24 应包含首地址和 192.168.1.255，不包含 192.168.2.1；/32 只包含唯一 IPv4，/128 只包含唯一 IPv6。每条用例同时断言 error，避免把输入失败误归类为“不在网段”。

相关问题

为什么 ParseAddr 解析成功，Contains 仍然是 false？

解析成功只说明文本是有效地址，还要确认地址族、IPv6 zone 和映射地址是否符合前缀策略。

Prefix.Contains 会自动把 CIDR 地址归一化吗？

判断依据是前缀位；如果需要规范化后的网络地址用于日志、比较或存储，应显式调用 Masked()。

能不能用 MustParseAddr 处理请求参数？

不建议。它适合测试中的硬编码字符串，外部输入应使用 ParseAddr 并返回可处理的 error。