摘要做IP归属地查询时常常能看到归属地正常、却依然被风控拦下。大促期间优惠券被薅空、注册接口涌进一批批小号、订单里混着自动化流量。排查到最后问题往往不在设备指纹而在IP本身不干净。这篇文章聊IP纯净度它是什么、从哪几个维度查、代码怎么写附2026年能直接引用的几组行业数据。一、为什么IP归属地查询正常还是被风控盯上先给一组数字。Imperva《2026 Bad Bot Report》机器人流量已占全网流量的53%恶意机器人占40%AI驱动的恶意请求在2025年同比涨了12.5倍。放到业务里感受一下每2.5个请求里就差不多有1个是程序发的。很多团队的第一反应是封机房IP。但2026年的攻击者早不住机房了Radware 2026年Q1对金融机构的监测显示32%的恶意bot流量来自普通ISP线路而非数据中心RSA Conference 2026上一项覆盖2.6亿个独立IP的研究也发现超过半数的活跃风险IP与住宅代理基础设施有重叠。多数IP归属地查询只能告诉你它在哪个城市真正决定一个IP该不该被放行的是它的纯净度。二、IP纯净度是什么说白了IP纯净度就是IP在网络世界的信用记录。干净的IP通常长这样住宅或移动宽带、没有代理通道标记、不进黑名单、近期没有滥用记录。反过来机房IP、共享出口、代理通道或者被拿去刷单、批量注册、跑垃圾流量的都算脏。三类脏IP做业务的应该都见过机房/数据中心IP地址段公开又集中是批量下单、批量注册的高发区共享出口IP一个出口挂着大量账号一个账号出事整段跟着脏轮换型代理IP秒拨、动态住宅黑名单还没来得及收录它已经换下一批。三类常见脏IP示意图三、从四个维度查纯净度落到检测上核心是四个维度检测维度查什么典型字段低纯净度特征网络类型住宅/移动还是机房usageType / ASNhosting、数据中心出口通道是否经过代理/隧道is_proxy / proxy_typeproxy、vpn、tor、relay风险标签是否有历史滥用/欺诈risk_level中/高风险等级风险评分综合欺诈风险量化risk_score0-100分数偏高除了这四个真人概率real和秒拨概率mb_rate也是有用的补充信号真人概率趋近0说明是机器流量秒拨概率高说明是轮换代理。单看任何一个维度都会误判。住宅IP被薅狠了一样会变脏机房IP只用来调接口也未必有恶意。四个维度放一起才接近一个IP的真实风险。四、两接口把四个维度查全用Python调查询接口大概长这样。以IP数据云为例。把归属地/应用场景和风险画像拆在两个接口配合起来正好覆盖四个维度import osimport requests KEY os.environ.get(IPDATACLOUD_KEY) def query_ip(ip: str) - dict: 归属地 应用场景 ASN判断数据中心还是家庭宽带 url https://api.ipdatacloud.com/v2/query resp requests.get(url, params{ip: ip, key: KEY}, timeout3) data resp.json().get(data) or {} return { scene: data.get(usageType) or data.get(usage_type), # 数据中心/家庭宽带/企业专线 asn: data.get(asn), isp: data.get(isp), } def risk_ip(ip: str) - dict: 风险画像代理、评分、真人概率、秒拨 url https://api.ipdatacloud.com/v2/risk resp requests.get(url, params{ip: ip, key: KEY}, timeout3) data resp.json().get(data) or {} return { is_proxy: data.get(is_proxy), # 是否代理 proxy_type: data.get(proxy_type), # Proxy/VPN/Tor/Relay risk_score: int(data.get(risk_score) or 0), # 0-100 risk_level: data.get(risk_level), # 无/低/中/高 real: int(data.get(real) or 0), # 真人概率 0-99 mb_rate: int(data.get(mb_rate) or 0), # 秒拨概率 0-100 } def purity_check(ip: str) - dict: info {**query_ip(ip), **risk_ip(ip)} # 机房 / 代理通道 / 高分 / 低真人命中任一先按低纯净度处理 info[risky] ( info[scene] 数据中心 or bool(info[is_proxy]) or info[risk_score] 70 or info[real] 20 ) return info print(purity_check(8.8.8.8))生产上建议分层注册、登录、支付、领券这些关键节点实时查询其余流量先用本地离线库粗筛不必每个请求都走一次网络往返。IP纯净度四维检测与分级处置流程图五、静态黑名单为什么不够用了黑名单是事后工具。IP先干了坏事、被上报才会被收录。而动态住宅代理的平均生命周期只有 7.8 天约三分之一只存活一天等名单更新完IP早轮换走了。GreyNoise 的研究显示78% 的恶意会话能规避基于IP信誉的传统检测也有电商团队复盘过纯黑名单方案识别率不到四成。所以这两年风控普遍从静态黑名单转向风险画像不再问这个IP有没有案底而是实时看它从哪来、是什么类型、正在被用来干什么。六、落地建议组合判断别只盯IP纯净度设备指纹行为序列一起看IP只是第一道闸分级处理别一刀切低纯净度不直接拒绝降级到验证码、二次验证少误伤正常用户数据要新——选日更的IP情报源重点看usageType、proxy_type、risk_score这类画像字段而不是只依赖归属地。当前市面上有多家服务商提供此类数据如MaxMind、IPinfo、IP2Location等也有开源方案如ip2region可作离线粗筛您可根据自身业务量和成本灵活选型或混合部署。下次再遇到归属地看着正常、却总被风控拦下的请求先查一下它的纯净度。答案大概率就在上面那几个字段里。数据来源Imperva《2026 Bad Bot Report》Radware 2026 Q1金融行业威胁报告RSA Conference 2026相关研究注IP段与风险状态动态变化检测阈值请结合自身业务调整 
长河君 · 2026/9/6 12:57:08 · 阅读 1.2k 做IP归属地查询时总是查不准？IP纯净度检测实战：从“查归属地“到识别“脏IP“的四个维度
摘要做IP归属地查询时常常能看到归属地正常、却依然被风控拦下。大促期间优惠券被薅空、注册接口涌进一批批小号、订单里混着自动化流量。排查到最后问题往往不在设备指纹而在IP本身不干净。这篇文章聊IP纯净度它是什么、从哪几个维度查、代码怎么写附2026年能直接引用的几组行业数据。一、为什么IP归属地查询正常还是被风控盯上先给一组数字。Imperva《2026 Bad Bot Report》机器人流量已占全网流量的53%恶意机器人占40%AI驱动的恶意请求在2025年同比涨了12.5倍。放到业务里感受一下每2.5个请求里就差不多有1个是程序发的。很多团队的第一反应是封机房IP。但2026年的攻击者早不住机房了Radware 2026年Q1对金融机构的监测显示32%的恶意bot流量来自普通ISP线路而非数据中心RSA Conference 2026上一项覆盖2.6亿个独立IP的研究也发现超过半数的活跃风险IP与住宅代理基础设施有重叠。多数IP归属地查询只能告诉你它在哪个城市真正决定一个IP该不该被放行的是它的纯净度。二、IP纯净度是什么说白了IP纯净度就是IP在网络世界的信用记录。干净的IP通常长这样住宅或移动宽带、没有代理通道标记、不进黑名单、近期没有滥用记录。反过来机房IP、共享出口、代理通道或者被拿去刷单、批量注册、跑垃圾流量的都算脏。三类脏IP做业务的应该都见过机房/数据中心IP地址段公开又集中是批量下单、批量注册的高发区共享出口IP一个出口挂着大量账号一个账号出事整段跟着脏轮换型代理IP秒拨、动态住宅黑名单还没来得及收录它已经换下一批。三类常见脏IP示意图三、从四个维度查纯净度落到检测上核心是四个维度检测维度查什么典型字段低纯净度特征网络类型住宅/移动还是机房usageType / ASNhosting、数据中心出口通道是否经过代理/隧道is_proxy / proxy_typeproxy、vpn、tor、relay风险标签是否有历史滥用/欺诈risk_level中/高风险等级风险评分综合欺诈风险量化risk_score0-100分数偏高除了这四个真人概率real和秒拨概率mb_rate也是有用的补充信号真人概率趋近0说明是机器流量秒拨概率高说明是轮换代理。单看任何一个维度都会误判。住宅IP被薅狠了一样会变脏机房IP只用来调接口也未必有恶意。四个维度放一起才接近一个IP的真实风险。四、两接口把四个维度查全用Python调查询接口大概长这样。以IP数据云为例。把归属地/应用场景和风险画像拆在两个接口配合起来正好覆盖四个维度import osimport requests KEY os.environ.get(IPDATACLOUD_KEY) def query_ip(ip: str) - dict: 归属地 应用场景 ASN判断数据中心还是家庭宽带 url https://api.ipdatacloud.com/v2/query resp requests.get(url, params{ip: ip, key: KEY}, timeout3) data resp.json().get(data) or {} return { scene: data.get(usageType) or data.get(usage_type), # 数据中心/家庭宽带/企业专线 asn: data.get(asn), isp: data.get(isp), } def risk_ip(ip: str) - dict: 风险画像代理、评分、真人概率、秒拨 url https://api.ipdatacloud.com/v2/risk resp requests.get(url, params{ip: ip, key: KEY}, timeout3) data resp.json().get(data) or {} return { is_proxy: data.get(is_proxy), # 是否代理 proxy_type: data.get(proxy_type), # Proxy/VPN/Tor/Relay risk_score: int(data.get(risk_score) or 0), # 0-100 risk_level: data.get(risk_level), # 无/低/中/高 real: int(data.get(real) or 0), # 真人概率 0-99 mb_rate: int(data.get(mb_rate) or 0), # 秒拨概率 0-100 } def purity_check(ip: str) - dict: info {**query_ip(ip), **risk_ip(ip)} # 机房 / 代理通道 / 高分 / 低真人命中任一先按低纯净度处理 info[risky] ( info[scene] 数据中心 or bool(info[is_proxy]) or info[risk_score] 70 or info[real] 20 ) return info print(purity_check(8.8.8.8))生产上建议分层注册、登录、支付、领券这些关键节点实时查询其余流量先用本地离线库粗筛不必每个请求都走一次网络往返。IP纯净度四维检测与分级处置流程图五、静态黑名单为什么不够用了黑名单是事后工具。IP先干了坏事、被上报才会被收录。而动态住宅代理的平均生命周期只有 7.8 天约三分之一只存活一天等名单更新完IP早轮换走了。GreyNoise 的研究显示78% 的恶意会话能规避基于IP信誉的传统检测也有电商团队复盘过纯黑名单方案识别率不到四成。所以这两年风控普遍从静态黑名单转向风险画像不再问这个IP有没有案底而是实时看它从哪来、是什么类型、正在被用来干什么。六、落地建议组合判断别只盯IP纯净度设备指纹行为序列一起看IP只是第一道闸分级处理别一刀切低纯净度不直接拒绝降级到验证码、二次验证少误伤正常用户数据要新——选日更的IP情报源重点看usageType、proxy_type、risk_score这类画像字段而不是只依赖归属地。当前市面上有多家服务商提供此类数据如MaxMind、IPinfo、IP2Location等也有开源方案如ip2region可作离线粗筛您可根据自身业务量和成本灵活选型或混合部署。下次再遇到归属地看着正常、却总被风控拦下的请求先查一下它的纯净度。答案大概率就在上面那几个字段里。数据来源Imperva《2026 Bad Bot Report》Radware 2026 Q1金融行业威胁报告RSA Conference 2026相关研究注IP段与风险状态动态变化检测阈值请结合自身业务调整