NocoBase IP 限制插件指南白名单/黑名单、CIDR 网段与访问拒绝日志【免费下载链接】nocobaseNocoBase is an open-source AI no-code platform for building business systems fast. Instead of generating everything from scratch, AI works on top of production-proven infrastructure and a WYSIWYG no-code interface, so you get both speed and reliability.项目地址: https://gitcode.com/GitHub_Trending/no/nocobaseIP 限制是 NocoBase 企业版插件nocobase/plugin-ip-restriction提供的安全能力管理员可以基于客户端访问 IP 设置白名单或黑名单从而限制未授权的外部网络连接、拦截已知恶意 IP并借助访问拒绝日志快速识别风险来源。读完本文你将掌握该插件的过滤模式、IP 列表配置方式、日志查询方法以及黑白名单的最佳实践建议同时理解 NocoBase 服务端如何提取客户端真实 IP为 IP 校验提供底层支撑。介绍NocoBase 支持管理员对用户访问 IP 设置白名单或黑名单用于达成两类核心安全目标限制未授权访问仅允许可信网络如办公网段、内网访问系统杜绝外部连接阻止恶意 IP将已知的攻击来源加入黑名单降低暴力破解、扫描探测等安全风险。当请求因 IP 规则被拒绝时管理员还可以通过系统日志查询访问拒绝记录识别并处置风险 IP。该能力在官方文档中标记为企业版功能PluginInfo licenseBundledenterprise nameip-restriction完整的配置界面、规则下发与日志管理由企业版插件提供。配置规则管理员在系统设置中进入 IP 限制配置页核心配置项包含两个部分IP 过滤模式与IP 列表。IP 过滤模式过滤模式决定 IP 列表的判定语义二者为互斥关系同一时刻只生效一种黑名单默认允许当用户访问 IP 与列表中的 IP 匹配时系统将拒绝访问未匹配的 IP 则默认允许访问。适用于只屏蔽少数已知风险来源的场景。白名单默认禁止当用户访问 IP 与列表中的 IP 匹配时系统将允许访问未匹配的 IP 则默认禁止访问。适用于仅开放给可信网络的高安全场景。切换模式即整体改变访问策略的默认值因此在生产环境切换前务必确认 IP 列表内容完整避免误伤合法用户或放行恶意来源。IP 列表IP 列表用于定义允许或禁止访问系统的 IP 地址集合其具体作用取决于上方选择的过滤模式。列表支持以下两种输入形式单个 IP 地址如192.168.1.100精确匹配单个客户端。CIDR 网段地址如192.168.0.0/24匹配整个子网一条规则即可覆盖 256 个地址。多个地址之间使用逗号或换行符分隔例如192.168.1.100, 10.0.0.0/8 203.0.113.5 2001:db8::/32从实现角度看NocoBase 服务端在请求进入应用时就已经准备好了客户端 IP。核心包 extract-client-ip.ts 中定义了extractClientIp中间件优先读取请求头X-Forwarded-For取其中第一个IPtrim 掉空白作为客户端 IP 写入ctx.state.clientIp当该请求头缺失或为空时回退使用ctx.request.ip。该中间件在应用初始化阶段注册见 helper.ts其 tag 为extractClientIp且位于cors之前确保跨域等前置处理完成后、业务逻辑之前即完成 IP 采集。对应的单元测试 extract-client-ip.test.ts 验证了三种行为从X-Forwarded-For提取首个 IP含逗号分隔与前后空格场景、以及请求头为空时回退到ctx.request.ip。审计模块同样采用优先X-Forwarded-For否则ctx.request.ip的提取策略见 audit-manager/index.ts。需要留意当应用部署在反向代理如 Nginx、负载均衡之后时ctx.request.ip通常指向代理地址因此正确透传X-Forwarded-For是 IP 限制准确生效的前提同时应信任可信代理防止客户端伪造该请求头绕过限制。查询日志用户被拒绝访问后其访问 IP 会写入系统日志中管理员可在日志管理界面查询并下载对应的日志文件进行离线分析。日志文件中的典型拒绝记录包含被拒绝的时间点、来源 IP、请求目标等信息例如2025-01-14 14:42:05 | 203.0.113.9 | GET /api/users:list - 403 Forbidden (ip-restriction)通过分析拒绝日志可以完成以下工作识别风险 IP汇总高频被拒 IP判断是否为扫描器或攻击源验证规则生效确认新配置的黑白名单是否按预期拦截/放行排查误拦截若合法用户被拒可在日志中快速定位其来源 IP 与触发规则及时调整列表。配置建议黑名单模式建议添加已知的恶意 IP 地址防止潜在的网络攻击定期检查并更新黑名单移除无效或不再需要屏蔽的 IP 地址避免列表膨胀影响维护效率。白名单模式建议添加可信任的内部网络 IP 地址如办公网段确保核心系统安全访问避免在白名单中包含动态分配的 IP 地址如家庭宽带、移动网络以防用户 IP 变化导致访问中断。通用建议使用 CIDR 网段简化配置例如用192.168.0.0/24代替逐个添加的 256 个 IP 地址既减少配置量也降低遗漏风险定期备份 IP 列表配置以便在误操作或系统故障时快速恢复定期监控访问日志识别异常 IP 并及时调整黑白名单形成配置—监控—调整的闭环结合反向代理透传真实 IP确保X-Forwarded-For正确传递可参考 extract-client-ip.ts 的取值逻辑并在代理层过滤伪造头保证 IP 判定结果真实可靠。总结NocoBase 的 IP 限制功能通过过滤模式 IP 列表两个核心配置即可快速落地访问控制策略黑名单适合拦截少量已知风险源白名单适合封闭可信网络CIDR 网段支持让大规模网段配置变得简洁高效访问拒绝日志则为事后审计与风险识别提供了依据。结合服务端extractClientIp中间件见 extract-client-ip.ts对真实客户端 IP 的提取机制管理员可以在部署反向代理的复杂网络环境下依然获得准确、可维护的 IP 级访问管控能力。【免费下载链接】nocobaseNocoBase is an open-source AI no-code platform for building business systems fast. Instead of generating everything from scratch, AI works on top of production-proven infrastructure and a WYSIWYG no-code interface, so you get both speed and reliability.项目地址: https://gitcode.com/GitHub_Trending/no/nocobase创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考