直接用 httputil.NewSingleHostReverseProxy 即可安全实现流量转发，它自动处理 Host、X-Forwarded-*、Connection 等关键头及连接复用，避免 90% 的 502/400 错误；须通过 Director 显式设置 req.URL.Scheme、req.URL.Host 和 req.Host，配置自定义 Transport 防超时与连接耗尽。
直接用 httputil.NewSingleHostReverseProxy 就能跑起来，别自己拼 HTTP 请求行或手动 dial 后端——90% 的 502/400 错误都源于绕过它。
为什么不能直接 http.Do 转发请求
很多人想当然地在 Handler 里用 http.DefaultClient.Do(req) 把原始 *http.Request 转发出去，结果发现 Host 头错、Body 读两次 panic、查询参数丢失、甚至 TLS 握手失败。根本原因是：http.Request 是服务端解析后的结构体，不是网络层可重放的字节流；http.Client.Do 会忽略 req.URL.Host、重设 Host 头、丢弃原始 RemoteAddr，并且无法复用连接池上下文。
正确做法是让代理实例自己处理转发逻辑，它会：
- 自动保留原始
req.Header（除 hop-by-hop 头） - 正确设置
Host、Content-Length、Transfer-Encoding - 复用底层
http.Transport连接池 - 透传响应状态码与头，不破坏 chunked 或 gzip 流式响应
Director 函数必须改哪几个字段
proxy.Director 是唯一安全修改请求的地方，漏改或错改会导致后端收不到 Host、路径 404、HTTPS 协议降级等问题。
立即学习“go语言免费学习笔记（深入）”；
以下三处必须显式赋值：
-
req.URL.Scheme = backendURL.Scheme（否则默认沿用客户端请求的https或http，后端可能拒收） -
req.URL.Host = backendURL.Host（否则Host头仍是客户端域名，后端 vhost 匹配失败） -
req.Host = backendURL.Host（HTTP/1.1 强制要求，req.URL.Host不自动同步到req.Host字段）
其他常见操作：
- 补
X-Forwarded-For：req.Header.Set("X-Forwarded-For", req.RemoteAddr)（注意：需先用strings.Split(req.RemoteAddr, ":")提取 IP，否则带端口） - 路径前缀剥离：
req.URL.Path = strings.TrimPrefix(path.Clean(req.URL.Path), "/api")，再确保以/开头 - 清除
req.URL.RawPath（若修改了Path但没清RawPath，Go 会优先用后者，导致 URL 编码错乱）
Transport 配置不当会导致 504 或连接耗尽
默认的 http.DefaultTransport 对反向代理极不友好：没有超时、空闲连接永不释放、TLS 握手无上限。高并发下很快出现 dial tcp: lookup xxx: no such host 或 too many open files。
必须新建 http.Transport 并挂到 proxy.Transport：
-
IdleConnTimeout: 30 * time.Second（防连接堆积） -
TLSHandshakeTimeout: 10 * time.Second（避免 TLS 卡死） -
ResponseHeaderTimeout: 60 * time.Second（防后端响应头迟迟不发） -
MaxIdleConns: 100和MaxIdleConnsPerHost: 100（平衡复用与资源） - HTTPS 场景下，如需跳过证书校验（仅测试），加
TLSClientConfig: &tls.Config{InsecureSkipVerify: true}，上线必须删
ModifyResponse 中读 Body 容易踩内存和竞态坑
想记录或改写响应 Body 时，直接 ioutil.ReadAll(res.Body) 看似简单，但有三个硬伤：
- Body 只能读一次，后续
proxy写回客户端会报body closed -
ioutil.ReadAll无内存限制，大文件响应直接 OOM - 未关闭原
res.Body，fd 泄漏（尤其 streaming 响应）
安全做法是：
- 先
defer res.Body.Close() - 用
io.LimitReader(res.Body, 1024*1024)控制最大读取量 - 用
bytes.NewBuffer+ioutil.NopCloser重建 Body - 如果只是日志，建议只读前几 KB，避免阻塞流式响应
真正难的不是转发本身，而是当请求含分块编码、长连接升级、100-continue 或 multipart 文件上传时，Director 和 ModifyResponse 的边界是否被严格守住——这些地方一松动，问题就藏得深、复现难、日志少。
