根本原因是尾部斜杠处理不当和子路由路径前缀错误：需启用strictslash(true)并确保子路由路径不带开头斜杠；jwt用户信息应通过context.withvalue安全注入并正确断言；限流需合理设置burst并用reserven精确控制；反向代理需自定义director手动透传关键header。
Go 里用 gorilla/mux 做路由，为什么路径匹配总失效？
根本原因常是没处理好尾部斜杠和子路由嵌套。比如注册了 /api/users，但客户端请求 /api/users/（多了一个斜杠），默认不匹配；又或者在中间件里用了 r.PathPrefix("/api").Subrouter()，却忘了把子路由的路径前缀从 /users 改成 /users（即去掉开头斜杠）。
- 启用
StrictSlash(true)：让/api/users和/api/users/视为等价，自动重定向 - 子路由中所有路径必须**不带开头斜杠**，例如
sub.HandleFunc("users", ...)而不是sub.HandleFunc("/users", ...) - 调试时加个兜底 handler：
r.NotFoundHandler = http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { log.Printf("404: %s %s", r.Method, r.URL.Path) })，能快速定位是否路由根本没命中
JWT 鉴权中间件里，http.Request.Context() 存用户信息靠谱吗？
靠谱，但必须在鉴权通过后、调用下一个 handler 前完成赋值，且下游 handler 必须显式从 context 取值——很多人直接往 req.Header 或全局 map 里塞，导致并发混乱或泄漏。
- 用
context.WithValue(req.Context(), key, user)注入，key 推荐定义为私有类型（如type userKey struct{}），避免和其他中间件冲突 - 下游 handler 别写
user := req.Context().Value(userKey{})就完事，得加类型断言和空值判断：if u, ok := req.Context().Value(userKey{}).(User); ok { ... } - 别在中间件里修改
req.Header存用户 ID，Header 是 HTTP 层概念，和业务身份无关，还可能被代理篡改
golang.org/x/time/rate 限流器怎么防住突发流量？
默认的 rate.Limiter 是漏桶模型，对突发容忍度高——它只限制平均速率，不控瞬时峰值。想卡死短时间大量请求，得组合使用 burst 参数 + 拒绝策略，而不是只靠 Allow()。
- 初始化时
rate.NewLimiter(rate.Every(1*time.Second), 5)表示“每秒最多 5 次”，但 burst=5 意味着第一秒可连发 5 次，之后必须等间隔；若要更严格，把 burst 设为 1（即完全不允许并发） - 用
limiter.ReserveN(time.Now(), n)替代Allow()，它返回一个*rate.Reservation，能查OK()和Delay()，适合需要精确控制响应头（如X-RateLimit-Reset）的场景 - 注意：限流器实例不能跨 goroutine 共享而不加锁——虽然文档说线程安全，但
ReserveN返回的 reservation 必须在同 goroutine 内消费，否则可能 panic
网关层做鉴权+限流+路由转发，为啥用 httputil.NewSingleHostReverseProxy 总丢 Header？
因为默认的 reverse proxy 会过滤掉部分敏感 header（如 Connection、Keep-Alive），还会把 Authorization、X-Forwarded-For 这类业务 header 当作“非标准”给删了。
立即学习“go语言免费学习笔记（深入）”；
- 必须重写
Director函数，并手动补全关键 header：req.Header.Set("X-Forwarded-For", clientIP(req))，其中clientIP要从X-Real-IP或X-Forwarded-For头解析真实 IP - 设置
proxy.Transport = &http.Transport{...}，禁用默认的 header 过滤：proxy.Transport.(*http.Transport).Proxy = http.ProxyFromEnvironment不够，还得确保Transport的DisableKeepAlives是 false - 如果后端服务依赖
Authorization，务必在Director里显式保留：req.Header.Set("Authorization", req.Header.Get("Authorization"))，reverse proxy 默认不透传
真正的难点不在拼功能，而在 header 的生命周期管理——鉴权中间件写的 header，要能在 reverse proxy 的 Director 里拿到；而 reverse proxy 加的 header，又不能干扰下游鉴权逻辑。边界稍一模糊，就出现“明明鉴权过了，下游却说 token 缺失”这种问题。
