expvar 是 Go 标准库内置的轻量级变量导出机制，默认通过 /debug/vars 暴露 cmdline、memstats、Goroutines、GC 等运行时快照指标，不支持自定义标签、聚合、认证、TLS 或路径前缀，生产环境直接启用存在安全风险。
expvar 默认只暴露基础运行时指标，不支持自定义标签或聚合，想监控业务状态得自己注册变量，且 HTTP 端点无认证、无 TLS、无路径前缀——生产环境直接启用等于裸奔。
expvar 是什么，它默认暴露哪些指标
expvar 是 Go 标准库内置的轻量级变量导出机制，通过 http.DefaultServeMux 在 /debug/vars 暴露 JSON 格式数据。它不是监控系统，只是“把变量塞进 HTTP 响应里”的工具。
默认暴露的指标来自 runtime.ReadMemStats 和 runtime.NumGoroutine 等，包括：
-
cmdline：启动命令行参数（字符串数组） -
memstats：完整内存统计（Alloc、TotalAlloc、HeapSys等字段） -
Goroutines：当前 goroutine 数量（整数） -
GC：GC 次数和暂停时间摘要（仅 Go 1.19+ 有较全字段）
注意：memstats 中的数值是快照值，不是速率；GC 不含详细历史，只反映最近几次 GC 的汇总。
立即学习“go语言免费学习笔记（深入）”；
如何安全地添加自定义计数器和度量值
用 expvar.NewInt、expvar.NewFloat 或 expvar.NewMap 注册变量，但必须在 init() 或程序启动早期完成——一旦 HTTP server 启动，再注册不会自动出现在 /debug/vars 里（除非手动调用 expvar.Publish，但极少用）。
示例：记录 HTTP 请求计数
var reqCounter = expvar.NewInt("http_requests_total")
func handler(w http.ResponseWriter, r *http.Request) {
reqCounter.Add(1)
// ...
}
关键细节：
- 变量名必须是合法 JSON key（不能含空格、点号、斜杠），推荐用下划线分隔
-
expvar.Int和expvar.Float是线程安全的，可并发调用Add，无需额外锁 - 避免用
expvar.NewMap嵌套过深，JSON 序列化时无深度限制，但 Prometheus 抓取或人工阅读会变困难 - 不要存指针、函数或 interface{}，expvar 只支持基本类型和 map/slice（且 slice 必须元素类型一致）
为什么不能直接把 expvar 当 Prometheus exporter 用
expvar 输出是扁平 JSON，而 Prometheus 需要文本格式（text/plain; version=0.0.4），字段需带类型注解、样本时间戳、标签对。两者语义不兼容：
- expvar 的
"Goroutines": 42无法表达 “这是即时值还是累计值”，Prometheus 要求明确标注# TYPE goroutines gauge - expvar 不支持 label（如
method="GET"），所有维度只能靠变量名硬编码（http_requests_get_total、http_requests_post_total），扩展性差 - expvar 无采样控制，高频更新
expvar.Int会导致 JSON 序列化开销上升，而 Prometheus client_golang 有批量缓冲和原子快照
如果已有 expvar 习惯，可用 github.com/deckarep/golang-set 或简单封装做过渡，但新项目建议直接用 prometheus/client_golang + promhttp。
生产环境暴露 expvar 的三个硬性前提
Go 官方文档明确说：/debug/* 端点“should not be exposed on publicly accessible servers”。真要上生产，必须满足：
- 绑定到本地回环（
http.ListenAndServe("127.0.0.1:6060", nil)），或通过反向代理（如 Nginx）加访问控制 - 禁用默认 mux，改用独立
http.ServeMux并只注册/debug/vars，防止其他 handler 意外暴露 - 若需 TLS，不能依赖
http.ListenAndServeTLS自动接管，必须显式构造http.Server并设置Handler，否则/debug/vars会随主服务一起暴露在公网端口
最常被忽略的一点：expvar 不感知 context 取消，HTTP 请求中断时，序列化仍在进行——高并发下可能拖慢整个 mux。真要压测或长连接场景，得考虑用 net/http/pprof 替代部分用途，或彻底换用 OpenTelemetry。
