Java如何实现Socket仅允许同一主机（本机）发起连接访问

原生支持结论 #

Java原生即可完全实现该需求，不需要引入第三方组件，实现逻辑和预期的客户端写法完全兼容，效果和ActiveMQ VM协议的本机访问限制一致。

核心实现逻辑 #

操作系统层面的网络栈会默认隔离回环网卡和外部物理/虚拟网卡：只要服务端Socket明确绑定到回环地址，所有来自外部主机的连接请求会在操作系统内核层直接被丢弃，根本不会到达Java应用进程，拦截可靠性远高于应用层自行做IP校验。

代码实现 #

服务端绑定回环地址即可，不要使用绑定所有网卡（0.0.0.0）的默认构造方式：

import java.net.InetAddress;
import java.net.ServerSocket;
import java.net.Socket;

public class LocalOnlySocketDemo {
    public static void main(String[] args) throws Exception {
        int listenPort = 5000;
        // 核心：第三个参数指定绑定回环地址，仅本机可连接
        ServerSocket serverSocket = new ServerSocket(
                listenPort,
                50,
                InetAddress.getLoopbackAddress() // Java 7+ 支持，自动适配IPv4/IPv6回环
                // 硬写IPv4可替换为 InetAddress.getByName("127.0.0.1")
        );

        // 本机客户端连接逻辑，和预期写法完全一致
        Socket localClient = new Socket("127.0.0.1", listenPort);
    }
}

校验方式 #

服务启动后可通过系统命令验证监听范围：

• Windows系统执行 netstat -ano | findstr 5000
• Linux/macOS系统执行 netstat -anp | grep 5000
  如果返回结果中监听地址显示为127.0.0.1:5000或::1:5000，说明配置生效，外部主机访问该端口会直接收到连接拒绝响应。

特殊场景替代方案 #

如果有更严格的本机进程隔离需求（比如禁止本机其他用户启动的进程访问），可以选择以下方案：

• Java 16及以上版本可使用原生支持的Unix Domain Socket：不走TCP/IP协议栈，通过本地socket文件通信，可配合文件系统权限做细粒度的进程访问控制，通信性能也比TCP回环更高。
• 低版本Java可在接收到新连接时增加一层兜底校验：获取客户端连接的getInetAddress()对象，调用isLoopbackAddress()方法判断是否为回环地址，非回环地址直接关闭连接即可。注意该方式属于应用层校验，不能替代绑定回环地址的内核层拦截，仅作为补充校验手段。

内容的提问来源于stack exchange，提问作者Sachin Naik