Python ipaddress 网段判断：地址前缀相似，为什么仍然不属于同一网络
先把文本解析成地址，再判断集合关系
检查地址是否落在某个网段时，字符串前缀很容易写，却没有表达网络掩码的能力。例如一个网段只包含最后一段的一半地址，前面三段看起来仍完全相同。用文本开头判断会把另一半地址一起接受，日志里的结果也可能显得十分合理，直到边界样本出现。
标准库 ipaddress 把地址与网络分成不同对象。地址代表一个点，网络代表由前缀长度决定的地址集合；成员判断比较的是相应二进制位。先解析还能拒绝数字超出范围、格式错误等输入，避免把一串看起来像地址的文字直接送进业务规则。
用半个网段同时测正例、反例和规范化
下面示例只计算文档演示地址，不发网络请求、不修改防火墙。保存为 Python 文件即可运行。目标 IPv4 网络为 192.0.2.128/25，分别检查末段为二百与二十的地址，再故意把带主机位的地址当作网络配置，观察严格解析拒绝后如何显式规范化。
AI生成概念示意图，非真实界面
from ipaddress import ip_address, ip_network
network4 = ip_network("192.0.2.128/25")
for text, expected in [("192.0.2.200", True), ("192.0.2.20", False)]:
naive = text.startswith("192.0.2.")
actual = ip_address(text) in network4
assert naive is True and actual is expected
print("membership:", text, naive, actual)
try:
ip_network("192.0.2.129/25", strict=True)
except ValueError:
print("strict: rejected")
else:
raise AssertionError("host bits should be rejected")
normalized = ip_network("192.0.2.129/25", strict=False)
assert normalized == network4
assert network4.network_address in network4
assert network4.broadcast_address in network4
print("normalized:", normalized)
def contains_same_family(network, text):
address = ip_address(text)
if address.version != network.version:
raise ValueError("address family mismatch")
return address in network
network6 = ip_network("2001:db8::/32")
compact = "2001:db8::1"
expanded = "2001:0db8:0000:0000:0000:0000:0000:0001"
assert ip_address(compact) == ip_address(expanded)
assert contains_same_family(network6, compact)
assert contains_same_family(network6, expanded)
assert not contains_same_family(network6, "2001:db9::1")
print("IPv6: equivalent spellings accepted")
try:
contains_same_family(network4, compact)
except ValueError as error:
assert str(error) == "address family mismatch"
print("family: rejected")
else:
raise AssertionError("mixed families should be rejected")两条成员结果应分别显示文本前缀均为 True，而真正的网段判断依次为 True、False。严格解析会输出 rejected，放宽后得到 192.0.2.128/25。IPv6 的压缩写法与展开写法应同时命中；跨地址族输入则被示例接口明确拒绝，不会与普通的不在范围内混成一种结果。
严格拒绝与自动归并对应不同的输入约定
网络配置通常要求填写网络地址。开启严格模式后，斜杠前地址的主机位若不为零就会报错，让操作者有机会发现填错了网络起点。关闭严格模式会按前缀清除主机位，求出所属网络，这适合已经约定“接受任意主机地址并归并”的导入流程，但并不证明操作者本来就想允许整个网段。
因此，不要在配置解析失败后无条件补一次宽松解析。较稳妥的导入界面可以同时呈现原输入和规范化结果，让变动可以复核。若需求其实是保存某台设备的地址和掩码，应考虑接口地址对象，保留主机地址并单独取得所属网络，避免把设备地址悄悄改成网络起点。
严格模式也不等于完整业务校验。一个语法有效的网络仍可能过大、属于错误环境，或不符合应用允许的前缀范围。解析层负责文本与地址模型，业务层负责范围与用途；测试需要分别验证这两层，不能把“成功创建对象”直接解释为“配置可以上线”。
地址族与端点要有明确口径
示例先比较 version，再做成员判断，把地址族不匹配视为调用错误。实际系统也可以约定直接返回不匹配，但必须固定这一语义。IPv4 与 IPv6 的位数和表示法不同，不能删除冒号、截取若干字符后混合比较；IPv4 映射的 IPv6 地址是否映射回去，也应由应用明确决定。
普通成员判断包含网络的全部地址。示例断言网络地址和广播地址都在集合内，这与枚举通常可用主机的 hosts 方法有不同目的。访问规则需要的是地址范围，分配设备地址还可能需要排除特殊端点；不要把某一次主机枚举的结果当成所有前缀长度都适用的通用规则。
人工验收至少覆盖网络起点、终点、刚好越界的位置、错误格式和错误地址族。IPv6 再加入大小写与压缩形式不同但数值相等的样本。日志可保存规范化后的网络与拒绝原因，便于核对规则，而真正的连通性仍取决于路由、监听和防火墙，本例没有测试这些运行状态。
