内网FastAPI服务：仅IP限制替代JWT是否满足安全需求？

一、IP限制在你的场景下的有效性 #

你的IP限制思路没问题，要是办公WiFi本身管控严格——比如只有内部员工能通过企业级认证接入，没有访客随便连的漏洞，那仅靠IP限制确实能达到“只有同事访问”的目的。

不过要注意你当前代码里的IP判断逻辑有漏洞：startswith("192.168.1.")会错误匹配192.168.100.1这类不在目标子网里的IP，建议用ipaddress模块做更严谨的子网校验，修正后的代码如下：

from fastapi import FastAPI, HTTPException, Request
import ipaddress

app = FastAPI()

# 替换成你的办公WiFi子网，比如192.168.1.0/24
allowed_subnet = ipaddress.ip_network("192.168.1.0/24")

@app.middleware("http")
async def check_ip(request: Request, call_next):
    client_ip = request.client.host
    try:
        ip_obj = ipaddress.ip_address(client_ip)
        if ip_obj not in allowed_subnet:
            raise HTTPException(
                status_code=403,
                detail="Access Forbidden: Your IP address is not allowed."
            )
    except ValueError:
        # 处理无效IP的情况
        raise HTTPException(status_code=400, detail="Invalid IP address")
    
    response = await call_next(request)
    return response

@app.get("/protected")
def protected_route():
    return {"message": "This is a protected route"}

二、什么时候需要补充JWT认证？ #

IP限制是网络层的防护，但不是万能的，以下情况建议加上JWT：

• 办公WiFi存在安全漏洞：比如有访客WiFi和办公网互通，或者员工设备被盗、被外部人员临时使用办公WiFi，这时候IP限制挡不住非授权人员。
• 未来要做权限细分：如果之后需要给不同同事开不同接口权限（比如财务部门才能访问数据接口），IP限制做不到这种细粒度控制，而JWT可以携带用户角色、权限信息实现精细化授权。
• 前端已经集成Auth0：既然React已经用了Auth0，复用JWT认证的成本很低，相当于在IP限制之外多一层应用级防护，双重保险更稳妥。

三、总结建议 #

• 要是办公WiFi安全性拉满（比如用802.1X企业认证，完全没有外部接入可能），且永远不需要用户级权限控制，那仅用IP限制足够。
• 否则，建议IP限制+JWT认证同时用：先用IP挡住外网请求，再用JWT确保请求来自已认证的同事，双重防护更靠谱。

内容的提问来源于stack exchange，提问作者ryantan