推荐使用 oschwald/maxminddb-golang 库直接解析 geolite2-city.mmdb，复用 *maxminddb.reader，定义结构体按需解码字段（如 country.isocode、city.names["en"]），注意可信 ip 提取、超时控制、原子热更新及日志告警。
用 maxminddb 读取 GeoLite2 数据库做 IP 归属判断
Go 官方不带 GeoIP 支持，得靠第三方库解析二进制数据库。目前最稳的是 oschwald/maxminddb-golang，它直接映射 MMDB 格式，不依赖 C 库，纯 Go 实现，部署干净。
注意：别用已归档的 geoip2（原 geoip2/geoip2），它底层调用的是 maxminddb，但封装了一层，字段访问略绕，且新版不再维护；直接用 maxminddb 更可控。
- 下载 GeoLite2-City.mmdb 到本地，比如
/etc/geoip/GeoLite2-City.mmdb - 用
maxminddb.Open()加载，返回*maxminddb.Reader，建议复用，不要每次请求都Open - 调用
reader.Lookup(net.ParseIP("8.8.8.8"), &record)，record结构体需自己定义，只解你需要的字段（如Country.IsoCode、City.Names["en"]） - IPv6 地址能正常查，但注意传入的是
net.IP类型，不是字符串；net.ParseIP对 IPv4 和 IPv6 都兼容
在 HTTP 中间件里做地理围栏拦截
地理围栏不是查完就完，关键是怎么结合业务逻辑做放行/拒绝。常见做法是写一个 Gin 或 net/http 中间件，在请求进来时提取真实 IP，查库，再根据配置规则决定是否继续。
容易踩的坑：HTTP 请求头里的 X-Forwarded-For 可被伪造，不能直接信；如果服务前有 Nginx 或 Cloudflare，得配好 real_ip_recursive on 和 set_real_ip_from，然后用 req.RemoteAddr 或可信头（如 CF-Connecting-IP）取源 IP。
立即学习“go语言免费学习笔记（深入）”；
- 先从可信头或连接地址提取
net.IP，别用req.Header.Get("X-Forwarded-For")简单切第一个 - 查库后拿到
record.Country.IsoCode，和预设白名单（如map[string]bool{"CN": true, "JP": true}）比对 - 匹配失败就写
http.Error(w, "Forbidden", http.StatusForbidden)并 return，别让后续 handler 执行 - 查库操作要加超时控制，比如用
context.WithTimeout包一层，避免 DB 文件损坏或磁盘卡住拖垮整个服务
maxminddb 查不到城市或坐标？检查字段路径和语言标签
GeoLite2 的结构是嵌套的，而且多语言字段（如城市名）存在 Names map 里，不是扁平字段。查不到不是库有问题，大概率是结构体字段 tag 写错了，或者没指定语言。
例如想取英文城市名，record.City.Names["en"] 是对的，但如果你定义了 Names map[string]string `maxminddb:"names"` 却忘了在查的时候传入 maxminddb.SkipAliasing，或者用了错误的 key（比如 "zh-CN" 但数据库没这个语言包），就会是空。
- 用
mmdbinspect工具（MaxMind 官方提供）看下你的 .mmdb 文件实际有哪些字段和类型 - 结构体字段 tag 必须严格匹配路径，比如
Country.IsoCode要写成IsoCode string `maxminddb:"country.iso_code"` - 多语言字段推荐只取
"en"，避免因语言缺失导致空值；如果必须支持中文，确认你下载的是含中文数据的版本（GeoLite2-City-CN） - 经纬度在
Location.Latitude和Location.Longitude，不是Coordinates—— 那是旧版字段名，新版已弃用
围栏规则动态更新难？别热重载 MMDB 文件
MMDB 文件是 mmap 映射的，maxminddb.Reader 持有文件句柄和内存映射。想“热更新”数据库（比如每天自动下载新 GeoLite2），不能简单 Close() 再 Open() —— 旧映射可能还在用，会 panic 或读到脏数据。
正解是用原子替换：新文件下载完、校验 OK 后，重命名到固定路径（如 /etc/geoip/GeoLite2-City.mmdb.new → /etc/geoip/GeoLite2-City.mmdb），再用信号或 channel 通知服务 reload reader。但更稳妥的做法是启动时加载一次，配合定期进程重启（比如用 systemd 的 RestartSec=86400）。
- 别在 HTTP handler 里做
os.Rename或os.Remove，IO 错误会炸掉请求 - reload 时先
newReader, err := maxminddb.Open(...)，成功后再原子替换指针（用sync/atomic或互斥锁保护全局*maxminddb.Reader） - 查库失败（如
maxminddb.ErrInvalidDatabase）别静默吞掉，至少打 warn 日志，否则围栏形同虚设 - 小公司没运维能力的话，直接把更新逻辑写进 CI/CD，发布新二进制时顺带更新 MMDB 文件，反而最省心
地理围栏真正的复杂点不在查 IP，而在于 IP 归属本身就不精确——移动网络出口集中、代理穿透、IPv6 分配混乱，这些都会让 record.Country.IsoCode 返回意料之外的值。上线前一定拿已知地域的真实设备（不是 curl + 代理）跑几轮验证。
