httputil.NewSingleHostReverseProxy不能直接代理HTTPS后端，因其默认http.Transport会校验证书；需自定义Transport跳过验证（仅限测试）或设置ServerName，并在Director中显式更新Scheme、Host和req.Host。
为什么 httputil.NewSingleHostReverseProxy 不能直接代理 HTTPS 后端
它默认用 http.Transport 发起请求，而该 Transport 对 HTTPS 后端会校验证书；如果后端是自签名、内网域名或未配 SNI，就会报 x509: certificate signed by unknown authority。这不是代理逻辑问题，是底层 HTTP 客户端的 TLS 行为。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 若需跳过证书验证（仅限测试/内网），必须自定义
http.Transport，设置TLSClientConfig.InsecureSkipVerify = true - 若后端有合法证书但域名不匹配（如用 IP 访问），还需设置
TLSClientConfig.ServerName指定期望的 SNI 域名 - 别在生产环境无条件设
InsecureSkipVerify—— 这等于放弃 TLS 的身份认证能力
如何修改 Director 函数才能正确转发 Host 和 Scheme
Director 是反向代理的“路由大脑”，它决定把请求发给谁。默认实现只改了 URL.Host，但常被忽略的是：req.URL.Scheme 不会自动同步，Host 头也不更新，导致后端收不到原始 Host 或误判协议。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 必须显式设置
req.URL.Scheme = "https"（如果后端是 HTTPS） - 必须重写
req.Host = backendURL.Host，否则后端看到的是客户端 Host，不是你期望的后端域名 - 若需透传原始 Host（比如做多租户路由），应先备份
req.Host到自定义 header，再覆盖
示例关键片段：
阿里百炼大模型平台多人共享账号用量统计代理服务。解决公司共用账号时无法区分个人用量的问题。适用场景：1)部署用量统计代理；2)统计多人Token用量和调用次数；3)管理大模型API调用配额。
proxy := httputil.NewSingleHostReverseProxy(backendURL)
proxy.Director = func(req *http.Request) {
req.URL.Scheme = backendURL.Scheme
req.URL.Host = backendURL.Host
req.Host = backendURL.Host // ← 这行不能少
}
ReverseProxy 的超时控制为什么不能只靠 context.WithTimeout
对单次代理请求加 context 超时，只能控制到 RoundTrip 返回，但无法中断正在传输的响应体流。如果后端卡在返回大文件中途，代理会持续 hold 连接，直到对方断开或 TCP keepalive 触发，此时 context 已失效。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 必须配置
Transport级超时：ResponseHeaderTimeout（等响应头）、IdleConnTimeout（空闲连接）、ReadTimeout（整个响应读取） -
ReadTimeout尤其重要：它会在读响应体超时时主动关闭连接，避免代理进程堆积 goroutine - 不要依赖
http.TimeoutHandler包裹整个代理 handler —— 它只作用于 handler 执行阶段，不覆盖后端流式响应过程
修改响应头或响应体时，为什么 ModifyResponse 里读 resp.Body 会失败
ModifyResponse 被调用时，resp.Body 可能已被部分读取或关闭（尤其当 Content-Length 已知且较小），直接 io.ReadAll(resp.Body) 会返回空或 panic。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 永远先检查
resp.Body是否实现了io.ReadCloser，并确保它可重复读 —— 实际上默认不可，需用httputil.DumpResponse或手动 buffer - 若要修改响应体，推荐用
io.TeeReader+bytes.Buffer先缓存，再构造新Body - 若只改 header（如加
X-Proxy-Time），无需碰Body，直接 return 即可；改 body 是高风险操作，容易破坏流式传输和压缩
真正容易被忽略的点是：Go 的 ReverseProxy 默认不缓冲响应体，它边收边转。一旦你介入 body，就打破了这个流水线，必须自己处理缓冲、长度头、gzip 等细节 —— 这不是加几行代码就能搞定的事。
