Go语言中安全修改HTTP请求需用r.Clone()创建新请求并重设URL.Path和Body，直接赋值r.URL.Path或r.Body会导致下游读取失败；注入上下文数据应使用context.WithValue配合私有键类型。
Go 语言没有“框架内置中间件”这回事，所谓自定义 HTTP 请求转换中间件，就是用标准库 net/http 写一个接收 http.Handler、返回新 http.Handler 的函数，核心动作是修改 *http.Request 后再透传给下游——但必须小心改写方式，否则下游拿不到原始请求体或路径语义错乱。
为什么不能直接改 r.URL.Path 或 r.Body
很多新手在中间件里直接赋值 r.URL.Path = "/new" 或 r.Body = newBody，结果下游 Handler 读不到 body、路由匹配失败、甚至 panic。原因有二：
-
r.URL是指针，但它的字段（如Path）被某些 Handler（比如http.ServeMux）在初始化时缓存过，改了也不生效 -
r.Body是io.ReadCloser，只能读一次；中间件一读就 EOF，下游再读就是空 - 若需重写路径，应优先用
http.StripPrefix或构造新*http.Request并调用r.Clone(r.Context())，再设URL和Body
http.Request 转换必须用 r.Clone()
真正安全的请求改写方式，是克隆一份新请求，再修改关键字段。克隆会复制 context、header、URL、body（注意：body 不自动复制内容，需手动重设）：
func rewritePathMiddleware(next http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
// 克隆请求，避免污染原请求
r2 := r.Clone(r.Context())
// 修改路径（仅影响下游，不干扰 ServeMux 匹配）
r2.URL.Path = strings.TrimPrefix(r2.URL.Path, "/api/v1")
// 若需重设 Body，先读原 body，再用 bytes.NewReader 构造新 Reader
// （仅当确定只读一次且体积可控时才这么做）
next.ServeHTTP(w, r2)
})
}
注意：r.Clone() 不复制 Body 内容，只复制引用；如果真要替换 body，得自己读 + 缓存 + 重设，且要考虑内存和流控制。
立即学习“go语言免费学习笔记（深入）”；
带上下文数据注入的转换中间件怎么写
常见需求是把解析后的用户 ID、租户信息、请求 ID 注入 context.Context，供下游 Handler 使用。别用全局变量，必须走 context.WithValue：
- 键必须是 unexported 类型（防冲突），例如
type ctxKey string; const userIDKey ctxKey = "user_id" - 中间件中用
r = r.WithContext(context.WithValue(r.Context(), userIDKey, userID)) - 下游 Handler 用
userID := r.Context().Value(userIDKey)取值 - 不要在中间件里修改
r.Header后不 clone 就透传——Header 是 map，多 goroutine 并发写会 panic
容易被忽略的陷阱：Body 读取与 Content-Length
如果你在中间件里调用 io.ReadAll(r.Body) 解析 JSON 或表单，务必做三件事：
- 读完后调用
r.Body.Close() - 用
bytes.NewReader(data)创建新Body并赋给r2.Body（r2是 clone 出来的） - 手动重设
r2.ContentLength = int64(len(data))，否则下游ParseForm()可能因长度不匹配失败 - 更稳妥的做法是：不主动读 body，改用
http.MaxBytesReader包装，或让业务 Handler 自己处理
最常出问题的地方不是逻辑没写对，而是忘了 clone、忘了重设 Content-Length、或者用错了 r.URL.Path 和 r.RequestURI——前者是解码后路径，后者才是 wire 上原始字节，日志和审计必须分清。
