新手写单机博客后端选 gin 更省事；练手 HTTP 本质或极简环境用 net/http 更透明；两者在 I/O 密集型场景性能差异可忽略。
用 net/http 还是 gin？别纠结，先看并发和中间件需求
直接说结论：新手写单机博客后端，gin 更省事；但如果你只想练手 HTTP 协议本质、或部署在极简环境（比如某嵌入式设备跑的 Go），net/http 更透明、无依赖。两者性能差距在博客这种 I/O 密集型场景几乎感知不到。
常见错误是上来就选 echo 或 fiber，结果卡在文档不熟 + 中间件行为不一致上——比如 gin 的 Abort() 和 echo 的 return 语义不同，导致鉴权跳过后续逻辑。
-
gin默认带 JSON 渲染、参数绑定、日志中间件，适合快速搭出/posts、/posts/:id这类 REST 接口 -
net/http需手动解析url.Values、处理Content-Type、写http.Error，但你能清楚看到每个请求进来的生命周期 - 如果要用
gorilla/mux，注意它的Vars(r)返回的是map[string]string，不是结构体，别想当然用json.Unmarshal直接转
数据库选 sqlite 还是 postgresql？取决于你是否要搜标题/内容
本地开发和静态博客 CMS 后端，sqlite 完全够用，文件即数据库，go-sqlite3 驱动稳定，连连接池都省了。但一旦需要全文搜索、模糊匹配、分页稳定性（比如 OFFSET 超大值性能骤降），立刻切 postgresql。
容易踩的坑是：用 sqlite 时开了多个 *sql.DB 实例，导致写锁冲突，发几个并发请求就 database is locked；或者没设 PRAGMA journal_mode = WAL，读写一并来就卡住。
立即学习“go语言免费学习笔记（深入）”；
-
sqlite开发期加这句：db.Exec("PRAGMA journal_mode = WAL")，避免写阻塞读 -
postgresql别裸用pgx，至少套一层pgxpool，否则高并发下连接数暴涨 - 博客搜索别硬写
LIKE '%关键词%'，SQLite 用FULLTEXT表，PostgreSQL 用to_tsvector+@@操作符
gorilla/sessions 存 cookie 还是 redis？登录态别只图方便
用户登录后存 session，gorilla/sessions 默认用内存存储，重启服务 session 全丢——这在开发期没问题，上线就变“登一次失一次”。真要持久，要么换 redis 后端，要么用加密 cookie（CookieStore）但别存敏感字段。
典型错误是把用户 password_hash 或 admin:true 塞进 cookie，哪怕加了 Secure 和 HttpOnly，一旦密钥泄露，权限直接失控。
-
CookieStore只存user_id和csrf_token，其他信息查库拿，密钥必须从环境变量读，别硬编码 - 用
redis就别自己写序列化逻辑，gorilla/sessions支持redis.Store，但注意它的MaxAge是秒级，别传毫秒值 - 注销时除了
session.Options.MaxAge = -1，还得调session.Save(r, w)，否则浏览器 cookie 不清除
静态资源怎么放？别让 http.FileServer 暴露源码目录
博客系统肯定要返回 /static/css/main.css 或 /uploads/2024/05/photo.jpg，Go 默认的 http.FileServer 很容易配错路径，导致 .. 路径遍历，访问到 ../main.go。
最稳妥的做法是用 http.Dir 显式限定根目录，再加一层 http.StripPrefix，别信“我只用了相对路径就安全”。
- 错误写法：
http.Handle("/static/", http.FileServer(http.Dir("./static")))—— 如果当前目录是项目根，可能被绕到./config.yaml - 正确写法：
fs := http.FileServer(http.Dir("/var/www/blog/static"))，绝对路径 + 独立目录 - 上传的图片别存在可执行目录下，用
/var/uploads/blog这类隔离路径，并在 Nginx 层禁掉该目录的脚本执行（location ~ ^/uploads/.*\.(php|sh)$ { return 403; }）
复杂点在于，你得同时处理本地开发（文件直读）和生产部署（CDN 或 Nginx 静态托管）两种路径逻辑，别让一个 http.FileServer 配置贯穿始终。
