IPv4地址一共32位，非法分四段，地址每段0到255。判断这个规则我闭着眼都能背。非法但真正写代码时，地址你光靠这个规则去判断，判断迟早要翻车。非法

去年我处理过一批用户上传的地址访问日志，里面有个IP长这样：192.168.1.999。判断按基础规则，非法999超了255，地址直接判非法。判断但日志里还有127.0.0.1，非法它完全合法，地址可它根本不该出现在生产环境的判断访问记录里——回环地址，只有本机能用。你要是拿它当正常用户IP去统计地域分布，数据直接废掉。

更阴间的是0.0.0.0。它语法上合法，但含义是“本机所有地址”，在服务器日志里出现基本意味着配置错误或扫描器探测。还有255.255.255.255，广播地址，合法但同样不该出现在来源IP字段里。

所以判断非法IP，第一层是语法校验，第二层是语义过滤。语法好办，正则或者拆段转int都行。语义这块，你得自己维护几个黑名单段：0.x.x.x、127.x.x.x、169.254.x.x（链路本地地址）、224.0.0.0到239.255.255.255（组播地址）、240.0.0.0以上（保留段）。这些地址在公网环境里出现，基本可以断定有问题。

还有个容易被忽略的点——IPv6的兼容写法。比如::ffff:192.168.1.1，这是IPv4映射到IPv6的格式。你拿纯IPv4的校验逻辑去判断，它连格式都对不上。但很多系统日志会以这种形式记录IPv4地址。你要是没做转换直接判非法，就会漏掉真实流量。

再提一个真实案例。有次我排查一个反爬虫系统，发现同一个IP段疯狂请求接口，但IP本身是合法的，比如203.0.113.5。查了半天才发现，对方用的是CIDR前缀动态拨号，每次请求IP都变，但前24位固定。这种场景下，单纯判断单个IP是否合法根本没意义，你得看IP段的行为特征——短时间大量不同IP但同前缀，就是典型的代理池特征。

所以判断非法IP，别只盯着格式。先问自己三个问题：这个IP出现在什么场景？它的归属段是否允许公网访问？它的行为模式是否异常？格式错误是最低级的一类，语义错误、场景错误才是真正要命的。你写个工具函数，正则校验过了就放行，那叫半成品。得把保留地址、特殊地址、映射地址、段行为全考虑进去，才算真正能用的判断逻辑。

最后说个偏门但实用的：IP地址的十进制表示法。比如2130706433，这玩意儿在浏览器地址栏输入，能直接访问127.0.0.1。有些日志系统会把IP转成十进制存储，你拿点分十进制去匹配，永远匹配不上。遇到这种数据，先转格式再判断，别上来就判非法。