127避坑：回环地址原理讲透
127避坑要从原理下手：127.0.0.1不是普通内网IP，而是交给本机回环接口处理的特殊地址。只记“它等于本机”还不够，一进容器、代理或IPv6环境就容易判断错。本文逐项比较地址范围、监听行为、网络隔离和安全边界，把几个最隐蔽的坑拆开说。
127.0.0.1与普通内网IP
127.0.0.1属于IPv4回环地址，发往它的数据由本机网络栈处理，不会像192.168.x.x那样交给局域网网卡和路由器。严格说，IPv4的127.0.0.0/8都保留作回环用途，只是绝大多数软件和文档习惯使用127.0.0.1。
普通内网IP代表设备在某个局域网里的接口，可能随网络变化，也可能被其他设备访问。127.0.0.1则每台设备都有，而且永远表示设备自己。所以别人发来“访问127.0.0.1:8080”，你打开的不是他的电脑，而是你自己的8080端口。
127监听与全部接口监听
服务绑定127.0.0.1时，操作系统只把发往回环接口的对应连接交给它。服务绑定0.0.0.0时，则表示接受发往所有本机IPv4接口的连接。两种配置使用同一个端口也可能冲突，具体取决于系统和程序的套接字设置。
这里最容易踩的坑，是把“能访问”误当成“监听范围相同”。程序监听0.0.0.0后，127.0.0.1通常也能访问，于是有人以为服务仍只在本机开放。实际应查看监听地址；看到0.0.0.0:端口，就要按可能被局域网访问来处理。
主机回环与容器回环
容器通常拥有独立的网络命名空间，它里面的127.0.0.1只指向该容器。宿主机数据库监听127.0.0.1，容器应用直接连接这个地址时，找的是容器内数据库，自然会报连接失败。这不是密码错误，也不是端口一定被封。
反过来也一样：容器里的服务若只监听容器127.0.0.1，即使配置了端口映射，宿主机也可能无法正常转发进去。容器服务通常需要监听0.0.0.0，再通过端口映射控制入口。开放后还要检查映射绑定在哪个宿主机地址上。
本地限制与真实安全边界
127限制的是直接网络入口，不代表服务自动安全。本机恶意进程可以访问它；代理、SSH隧道、开发工具转发和容器映射也可能把它接到外部。没有鉴权的管理接口，即便默认只监听本机，也不该执行任意命令或信任所有请求参数。
IPv6环境还要单独看::1。只保护127.0.0.1，不等于检查了IPv6监听；只测试localhost，也不能确定流量走的是哪套协议。靠谱的127避坑方法，是同时核对进程、协议族、监听地址、转发链路和鉴权，而不是只盯着浏览器地址栏。
推荐阅读
常见问题
127.0.0.2也是本机地址吗？
在标准IPv4语义中，127.0.0.0/8保留用于回环，因此127.0.0.2也属于回环范围。不过软件兼容性和默认配置多以127.0.0.1为准，没有特殊需求就用后者。
127.0.0.1会经过路由器吗？
正常情况下不会。操作系统会在本机网络栈中处理回环流量，不把它发送到物理网卡，因此断开路由器也不影响本地服务之间通过127.0.0.1通信。
只监听127.0.0.1还需要密码吗？
涉及管理、敏感数据或高权限操作时仍应设置鉴权。回环监听减少了直接暴露，但挡不住本机其他进程，也无法覆盖代理转发和端口隧道带来的入口。