Director未改req.URL.Scheme和req.URL.Host必然导致502错误，因NewSingleHostReverseProxy仅转发不自动重写目标地址，必须显式设置协议、主机、路径，并补全X-Forwarded-*头、自定义Transport及TLS配置。
Director没改req.URL.Scheme和req.URL.Host，转发必然失败——这是90%的502 Bad Gateway错误根源。Go标准库的httputil.NewSingleHostReverseProxy不会自动重写目标地址，它只负责“转发”，前提是你要在Director里亲手填好协议、主机、路径。
Director必须显式设置Scheme和Host
很多人以为传入url.Parse("https://api.example.com")就万事大吉，其实NewSingleHostReverseProxy只用这个URL初始化默认值，真正发请求时仍沿用客户端原始的req.URL.Scheme和req.URL.Host。漏掉任一字段，请求大概率发到本地或返回404/502。
-
req.URL.Scheme必须设为"https"（如果后端是HTTPS），否则默认仍是"http"，导致TLS握手失败或连接被拒绝 -
req.URL.Host必须设为后端地址的backendURL.Host，不能只靠构造时传的URL -
req.Host也得同步设成backendURL.Host，否则后端收到的是客户端Host（如example.com），不是你期望的后端标识（如api.internal） - 路径拼接推荐用
singleJoiningSlash(backendURL.Path, req.URL.Path)，避免双斜杠或丢失查询参数
X-Forwarded-*头不手动加，后端永远看不到真实IP
httputil.ReverseProxy默认不添加任何X-Forwarded-*头。如果你的后端靠X-Forwarded-For做限流、日志或地域判断，它看到的只会是代理本机IP（比如127.0.0.1）。
- 用
req.Header.Set("X-Forwarded-For", clientIP(req))注入，其中clientIP需从req.RemoteAddr解析，并过滤私有网段（如10.0.0.0/8） -
X-Forwarded-Proto根据req.TLS != nil判断设为"https"或"http" -
X-Forwarded-Host设为req.Host，保留原始域名 - 注意：
Set会覆盖，Add才追加；X-Forwarded-For应Add而非Set，避免覆盖上游已有的可信链
Transport不自定义，高并发下秒变503
ReverseProxy.Transport默认为nil，最终 fallback 到http.DefaultTransport，而它的MaxIdleConnsPerHost默认只有2——压测时几秒就耗尽文件描述符，表现就是大量503或连接超时。
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
立即学习“go语言免费学习笔记（深入）”；
- 必须显式赋值
proxy.Transport = &http.Transport{...} - 关键参数至少调大：
MaxIdleConns: 100、MaxIdleConnsPerHost: 100、IdleConnTimeout: 30 * time.Second - 如果后端支持HTTP/2，务必加
ForceAttemptHTTP2: true，否则即使后端是h2，Go也会降级为h1.1 - 测试环境若用自签名证书，需临时设
TLSClientConfig.InsecureSkipVerify = true，但生产环境严禁无条件开启
HTTPS后端报x509错误？不是代理问题，是Transport TLS配置缺位
x509: certificate signed by unknown authority这类错误，99%不是Director写错了，而是http.Transport在发起HTTPS请求时校验失败。它和反向代理逻辑无关，纯属底层HTTP客户端行为。
- 内网自签名证书：必须自定义
Transport，设TLSClientConfig.InsecureSkipVerify = true（仅限测试） - 域名不匹配（如用IP访问带CN的证书）：还需指定
TLSClientConfig.ServerName = "expected-domain.com" - 别在
Director里动req.TLS或req.URL.Scheme以外的TLS相关字段——那是Transport层的事 - 错误日志里如果出现
net/http: request canceled (Client.Timeout exceeded while awaiting headers)，优先查Transport超时设置，不是context问题
最易被忽略的点：所有X-Forwarded-*头必须在Director函数执行完之后、proxy.ServeHTTP调用之前注入。顺序错一步，头就丢了；而Director里对req.URL.Path的修改，若没用singleJoiningSlash处理，路径双斜杠或查询参数丢失的问题会在灰度期才暴露。
