不建议Boundary服务端与Go应用混部，应分离部署：Boundary Server作为独立零信任网关部署于受控网络区，Go应用通过TLS连接其9200/9201端口；Go代码需用boundary-go v0.12.x SDK，显式配置地址与token，调用Session.Create获取会话凭证，并透传至9202代理端口。
Boundary 服务端要不要和 Go 应用跑在同一台机器上
不建议。Boundary 的 boundary-server 是独立的认证与会话代理服务，Go 应用只是它的客户端（通过 SDK 或 API 调用），二者职责分离。混部容易导致资源争抢、权限混乱，且违背 Boundary “零信任网关”的设计初衷——它本该作为统一入口，而非业务逻辑的一部分。
典型部署是：Boundary Server 单独部署在受控网络区（如 DMZ 或专用安全子网），Go 应用运行在应用集群中，通过 TLS 连接其 https://boundary.example.com:9200 端点。确保 Go 应用所在节点能解析并访问该地址，且防火墙放行 9200（HTTP API）和 9201（gRPC）端口。
Go 代码里怎么用 boundary-go SDK 初始化 client
Boundary 官方 SDK github.com/hashicorp/boundary-go 尚未发布 v1 正式版，当前稳定可用的是 v0.12.x（适配 Boundary 0.12+）。直接 go get github.com/hashicorp/boundary-go@v0.12.4 即可，但要注意：boundary-go 不提供连接池或自动重试，所有调用都是裸 HTTP/gRPC 请求。
- 必须显式设置
boundary.WithAddr("https://boundary.example.com:9200")，否则默认连http://localhost:9200 - 认证要用
boundary.WithToken("s.abc123...")，token 来自 Boundary 的 auth token（不是 UI 登录密码），建议从环境变量读取：os.Getenv("BOUNDARY_TOKEN") - 若用 mTLS 认证（推荐生产环境），需额外传入
boundary.WithTLSConfig(&tls.Config{...})，且 server 端必须启用tls_disable = false和对应证书配置
如何用 Go 调用 Boundary 创建临时会话访问目标主机
核心流程是：先获取目标（target）ID → 调用 client.Session.Create 生成一次性会话 → 提取 session.Token 用于后续连接代理。注意：Session.Create 返回的 token 不是 JWT，而是 Boundary 内部会话凭证，仅能用于连接其 TCP/SSH 代理端口（默认 9202）。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
示例关键片段：
// 获取目标 ID（通常提前查好缓存，避免每次调用都 List）
targetID := "ttcp_123abc..."
// 创建会话
sess, err := client.Session.Create(ctx, &boundary.SessionCreateRequest{
TargetId: targetID,
ScopeId: "o_abcde...", // scope ID，通常是 org ID
})
if err != nil {
log.Fatal(err) // 实际应做错误分类处理（如 token 过期、target 不存在）
}
// sess.Token 是连接代理时要用的凭证
fmt.Println("session token:", sess.Token)
常见坑：Session.Create 失败多数因 scope 权限不足（用户没被授权访问该 target 所属 scope），或 target 状态非 active。不要硬编码 target ID，建议用 client.Target.List + 过滤，但注意 list 接口需要 scope 级权限。
Go 应用如何把用户流量转发到 Boundary 的 SSH/TCP 代理
Boundary 不暴露原始目标地址，只提供代理端点（boundary.example.com:9202）。Go 应用要做的，是把用户发起的连接（比如 Web SSH 终端的 WebSocket 流，或 CLI 的 TCP dial）透传给这个代理，并在 CONNECT 请求头里带上 X-Boundary-Session-Token: <sess.Token>。
- 对 SSH 场景：不能直接
ssh -p 9202 user@boundary.example.com，必须用 Boundary 自带的boundary connectCLI 或集成其 SDK 的代理逻辑 - 对自研 Web 终端：后端建立到
boundary.example.com:9202的 TCP 连接，写入CONNECT <target-id> HTTP/1.1\r\nX-Boundary-Session-Token: ...\r\n\r\n，再把前后端流双向拷贝 - 务必验证代理返回的 HTTP 200 响应头，失败时会返回 4xx/5xx 并附带 JSON 错误体（如
{"status":"permission_denied"}）
真正难的不是调用 API，而是把 session 生命周期和用户会话对齐——token 有 TTL（默认 24h，可配），过期后需重新 Create；同时要监听 Boundary 的 session 状态变更事件（通过 SSE 或轮询 /sessions/:id），及时通知前端断连。
