Pomerium不是Go库而是独立运行的零信任网关，Go服务应保持普通HTTP形态仅暴露给Pomerium；强行嵌入会丧失其认证、策略路由、审计等核心能力，正确做法是三层分离部署：Pomerium做TLS终止与策略控制，Go服务专注业务逻辑并安全解析可信头。
直接说结论：Pomerium 不是拿来“配置在 Golang 后端里”的组件，它是独立运行的反向代理网关，你的 Go 服务只需保持普通 HTTP 服务形态，暴露给 Pomerium 即可；强行把它嵌入 Go 进程内，等于放弃它的身份认证、策略路由、审计日志等核心能力。
为什么不能把 Pomerium 当成 Go 的一个库来用
Pomerium 是一个完整的、有自己监听端口、认证流程、策略引擎和 TLS 终止能力的独立服务。它不是 httputil.ReverseProxy 那种可嵌入的 HTTP 中间件 —— 它的 sdk.NewClient() 只提供辅助能力（比如验证请求签名、做细粒度权限检查），但不替代代理转发本身。
常见错误操作包括：
- 在 Go HTTP handler 里调用
client.AuthenticateRequest()+client.Proxy()手动转发，结果绕过了 Pomerium 的证书管理、会话续期、策略变更热加载 - 误以为设置
GOPROXY或http.Transport就能“集成”Pomerium，其实两者完全无关 - 把 Pomerium 的配置写进 Go 的
config.yaml，导致策略更新必须重启 Go 服务
正确部署结构：Go 服务只做业务，Pomerium 做网关
标准云原生部署模型是三层分离：
立即学习“go语言免费学习笔记（深入）”；
- 最外层：Pomerium 实例（通常用 Docker/K8s 部署），监听
:443，处理所有 TLS 终止、登录跳转、JWT 签发与校验 - 中间层：Pomerium 的策略配置（
policy.yaml），定义哪些路径由哪个后端服务承接，例如from: https://app.example.com, to: http://go-service:8080 - 最内层：你的 Go 服务保持原样，监听
localhost:8080，无需任何 Pomerium SDK 依赖，也不处理 Cookie、OAuth 流程
此时 Go 服务收到的请求，req.Header.Get("X-Forwarded-For") 是真实用户 IP，req.Header.Get("X-Pomerium-Jwt-Assertion") 是已解码的用户身份声明（需自行 base64 解码并校验签名）。
Go 服务如何安全读取 Pomerium 注入的头信息
Pomerium 默认会在转发请求时注入一组可信头（前提是配置了 pass_identity_headers: true）。你的 Go 服务不能无条件信任这些头 —— 必须验证它们确实来自 Pomerium：
- 只接受来自本地回环地址（
127.0.0.1或::1）的请求，拒绝所有外部直连 - 校验
X-Pomerium-Signed-Header是否存在且含有效签名（用 Pomerium 配置的shared_secretHMAC 校验） - 若需解析
X-Pomerium-Jwt-Assertion，必须用 Pomerium 的公钥（非硬编码字符串）验证 JWT 签名，不能只 parse 后就信内容 - 别用
req.RemoteAddr做访问控制 —— 它是 Pomerium 的出口 IP，不是用户 IP；应优先取X-Forwarded-For最左非私有地址
示例校验逻辑片段（不展开完整 JWT 解析）：
if req.RemoteAddr != "127.0.0.1:12345" && !strings.HasPrefix(req.RemoteAddr, "[::1]:") {
http.Error(w, "Forbidden", http.StatusForbidden)
return
}
signed := req.Header.Get("X-Pomerium-Signed-Header")
if !isValidSignature(signed, sharedSecret) {
http.Error(w, "Bad signature", http.StatusUnauthorized)
return
}
容易被忽略的关键点：策略变更 ≠ 代码重启
Pomerium 的策略（policy）是热加载的，改完 YAML 文件或通过 Admin API 更新，几秒内生效；而你的 Go 服务一旦加了任何“集成逻辑”，比如手动调用 SDK 验证、拼接 redirect URL、缓存用户 session，就会让策略变更被迫同步到 Go 代码中 —— 这违背了零信任“策略即代码、与应用解耦”的本质。
真正该在 Go 里做的，只有两件事：接收已认证流量、按需解析可信头。其余所有登录、MFA、设备合规检查、跨域策略、审计日志上报，都交给 Pomerium 自己完成。
