如何在Go中高效判断一个CIDR网络是否完全包含于另一个网络

嘿，我来帮你搞定这个问题！首先得说清楚：你之前用route.Contains(subnet)不行，是因为net.IPNet的Contains方法只接受net.IP类型的参数，不是另一个IPNet对象，所以直接传子网肯定会报错～

你想到的检查子网首尾IP的思路是可行的，但其实还有更简洁高效的方式——通过掩码长度和网络地址的匹配来判断，不用计算广播地址，一起来看看：

核心判断逻辑 #

要确认子网subnet完全在父网络route里，必须满足两个条件：

• 子网的掩码长度大于等于父网络的掩码长度（毕竟子网是更细分的网络，掩码更长）
• 子网的网络地址（也就是掩码过滤后的IP）必须落在父网络的范围内

完整可运行代码 #

package main

import (
	"fmt"
	"net"
)

// isSubnetContained 检查subnetCIDR是否完全包含于routeCIDR
func isSubnetContained(subnetCIDR, routeCIDR string) (bool, error) {
	// 解析子网CIDR
	subnetIP, subnetNet, err := net.ParseCIDR(subnetCIDR)
	if err != nil {
		return false, fmt.Errorf("解析子网失败: %w", err)
	}
	// 解析父网络CIDR
	routeIP, routeNet, err := net.ParseCIDR(routeCIDR)
	if err != nil {
		return false, fmt.Errorf("解析父网络失败: %w", err)
	}

	// 先看掩码长度：子网掩码必须更长或相等，否则不可能被包含
	subnetMaskLen, _ := subnetNet.Mask.Size()
	routeMaskLen, _ := routeNet.Mask.Size()
	if subnetMaskLen < routeMaskLen {
		return false, nil
	}

	// 再检查子网的网络地址是否在父网络内
	// 注意：net.ParseCIDR返回的第一个IP就是子网的网络地址（已经过掩码处理）
	if !routeNet.Contains(subnetIP) {
		return false, nil
	}

	return true, nil
}

func main() {
	var (
		subnet = "10.10.10.8/29"
		route  = "10.10.10.0/24"
	)

	contained, err := isSubnetContained(subnet, route)
	if err != nil {
		fmt.Printf("出错啦: %v\n", err)
		return
	}

	if contained {
		fmt.Printf("子网 %s 完全包含在网络 %s 里\n", subnet, route)
	} else {
		fmt.Printf("子网 %s 不在网络 %s 的范围内\n", subnet, route)
	}
}

为什么这个方法更优？ #

• 不用额外计算广播地址：net.ParseCIDR返回的第一个IP已经是子网的网络地址，直接用它判断就够了
• 掩码长度的判断能快速排除明显不成立的情况（比如一个/24的网络不可能被/29的小网络包含）

关于你最初思路的补充实现 #

如果你还是想用检查首尾IP的方式，也可以实现广播地址的计算，然后同时验证两个IP是否在父网络内：

// getBroadcastIP 计算给定网络的广播地址
func getBroadcastIP(ipNet *net.IPNet) net.IP {
	broadcast := make(net.IP, len(ipNet.IP))
	copy(broadcast, ipNet.IP)
	for i := range broadcast {
		broadcast[i] |= ^ipNet.Mask[i]
	}
	return broadcast
}

之后在判断时，除了检查子网的网络地址，再加上routeNet.Contains(getBroadcastIP(subnetNet))就行，不过这种方式比前面的方法多了一步计算，效率稍低，但结果是一致的。

内容的提问来源于stack exchange，提问作者Hoch