套接字激活下如何验证地址族限制?

套接字激活下，服务能正常接收请求，并不能证明 RestrictAddressFamilies= 没有生效。关键区别是套接字由谁创建：限制针对服务进程创建指定地址族套接字的能力；由激活机制预先创建、再交给服务的套接字，需要另行核对。只访问页面，测试到的可能只是后一条路径。

验证前先在测试环境核对服务单元及关联的套接字单元，记下哪些监听套接字由管理器提供，哪些连接需要服务自行建立。再按业务职责列出所需的本地通信和网络通信，包括访问数据库、执行后台任务等路径。不能因为服务对外提供网络访问，就推断它必须自行创建对应的监听套接字；也不能因为入口请求成功，就推断它不需要创建其他套接字。

测试时一次只调整 RestrictAddressFamilies= 这一项，重新加载配置并重启服务，确认新进程使用了预期设置。随后分别检查两类结果：激活入口能否继续处理请求；需要服务主动建立连接的任务能否完成。结合服务日志和实际任务结果判断，不能只看 active 状态。若要证明某类新建套接字确实受到限制，还必须让测试路径实际尝试创建它；没有触发该操作，就不能把“未见报错”当作验证通过。

若核心路径失败，先恢复本次变更，再重启并复测同一路径。记录时把“套接字创建者、对应业务操作、变更前后结果”放在一起，才能区分限制生效、继承套接字继续可用，以及测试根本没有覆盖目标操作这三种情况。