如何在PHP中实现ACL：检查IPv6地址是否属于指定网络

你已经搞定了IPv4的地址匹配逻辑，这一步很扎实！要把ACL扩展到支持IPv6，咱们得针对IPv6的128位地址特性调整实现思路——毕竟没法像IPv4那样直接用ip2long做简单转换。下面是具体的实现方案：

先回顾你的IPv4实现（方便对比参考） #

你之前写的IPv4地址匹配函数逻辑是完全没问题的，代码如下：

function address_in_range_ipv4($ip, $cidr) {
    list($subnet, $mask) = explode('/', $cidr);
    return (ip2long($ip) & ~((1 << (32 - $mask)) - 1)) == ip2long($subnet);
}

IPv6地址匹配的核心实现 #

针对IPv6，我们需要用PHP的inet_pton()把地址转换成二进制字符串，再通过位运算匹配前缀。注意：PHP 5.3及以上版本才支持inet_pton()和inet_ntop()，要确保你的运行环境满足版本要求。

IPv6匹配函数代码 #

function address_in_range_ipv6($ip, $cidr) {
    list($subnet, $prefixLength) = explode('/', $cidr);
    $prefixLength = (int)$prefixLength;

    // 将IPv6地址和子网转换为二进制格式
    $ipBin = inet_pton($ip);
    $subnetBin = inet_pton($subnet);

    if ($ipBin === false || $subnetBin === false) {
        // 无效的IPv6地址或子网，直接返回不匹配
        return false;
    }

    // 计算需要匹配的完整字节数和剩余位数
    $fullBytes = (int)($prefixLength / 8);
    $remainingBits = $prefixLength % 8;

    // 先匹配完整的字节部分
    if (substr_compare($ipBin, $subnetBin, 0, $fullBytes) !== 0) {
        return false;
    }

    // 处理剩余的不足一个字节的位数
    if ($remainingBits > 0) {
        $mask = 0xFF << (8 - $remainingBits);
        // 对最后一个需要比较的字节按掩码过滤后对比
        if ((ord($ipBin[$fullBytes]) & $mask) !== (ord($subnetBin[$fullBytes]) & $mask)) {
            return false;
        }
    }

    return true;
}

整合IPv4和IPv6的统一调用函数 #

为了让ACL使用更便捷，咱们可以封装一个统一函数，自动判断地址类型并调用对应匹配逻辑：

function address_in_range($ip, $acl) {
    foreach ($acl as $cidr) {
        // 通过冒号判断是IPv6还是IPv4的CIDR规则
        if (strpos($cidr, ':') !== false) {
            if (address_in_range_ipv6($ip, $cidr)) {
                return true;
            }
        } else {
            if (address_in_range_ipv4($ip, $cidr)) {
                return true;
            }
        }
    }
    return false;
}

使用示例 #

现在你的ACL可以同时兼容IPv4和IPv6网络了：

$acl = array(
    "192.168.0.0/24", 
    "10.6.0.0/16",
    "2001:db8::/32",
    "fd00::/8"
);

// 检查客户端IP（自动适配IPv4/IPv6）
if (address_in_range($_SERVER['REMOTE_ADDR'], $acl)) { 
    // 允许执行操作... 
}

// 单独测试IPv6地址
if (address_in_range('2001:db8::1234', $acl)) {
    echo "该IPv6地址在ACL允许范围内";
}

额外注意事项 #

• 确保PHP版本≥5.3，否则inet_pton()等函数无法使用；
• 可以用filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)提前校验IPv6地址的合法性；
• IPv6的压缩格式（比如::）可以被inet_pton()正确解析，无需手动展开。

内容的提问来源于stack exchange，提问作者ThomasH