结论：Golang无开箱即用全功能网关，需拼装gin/chi+httputil.NewSingleHostReverseProxy+中间件；Director必须重写否则路径错乱、IP伪造、302跳转内网；Transport不调优则成故障放大器。
直接说结论：Golang 里没有“开箱即用的全功能网关”，所谓“全功能”必须按需拼装——gin 或 chi 做路由入口，httputil.NewSingleHostReverseProxy 做转发底座，再叠加鉴权、限流、熔断等中间件；硬套框架或跳过 Director 配置，上线后必出 502、路径错乱、IP 伪造、超时抖动。
为什么 httputil.NewSingleHostReverseProxy 的 Director 必须重写
默认行为等于裸转发，90% 的生产问题都源于没改它。它只设 req.URL.Host，其余全照搬客户端请求：路径带前缀、Host 头是网关自身、X-Forwarded-For 缺失、302 跳转 URL 指向内网地址。
-
req.URL.Scheme和req.URL.Host必须显式赋值，别依赖upstreamURL.String()，Scheme常被忽略 - 路径要手动切前缀：
req.URL.Path = strings.TrimPrefix(req.URL.Path, "/api/v1")，正则替换易误伤（如/api/v1/user-profile→/user-profile） - 透传真实 IP：
req.Header.Set("X-Real-IP", getClientIP(req))，getClientIP需从X-Forwarded-For最左非私有 IP 提取，不能直接用req.RemoteAddr - 删 hop-by-hop header：
req.Header.Del("Connection")、req.Header.Del("Keep-Alive")、req.Header.Del("Proxy-Authenticate")
gin 和 chi 选哪个做路由层
不是比谁更“高级”，而是看控制粒度和错误韧性。用 http.ServeMux 会自动裁剪前缀导致路径丢失；gorilla/mux 中间件链松散，一个 panic 就可能让整个网关挂掉。
-
gin适合需要统一鉴权、限流、日志的场景：r.Group("/users").Use(authMiddleware, rateLimitMiddleware)，失败时调c.AbortWithStatus(401)，后续中间件不执行 -
chi更适合多级子路由隔离：userRouter := chi.NewRouter()绑定用户服务代理，r.Mount("/api/users", userRouter)，天然支持中间件链式注入和通配符 - 两者都支持
httputil.ReverseProxy封装，但gin的c.Request可读写，方便改写Host、X-Forwarded-For等头
Transport 不调优，网关就是故障放大器
默认 http.DefaultTransport 在微服务场景下完全不可控：DNS 缓存永久生效、空闲连接不释放、整请求卡死在 30 秒、大文件上传 OOM。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
-
MaxIdleConnsPerHost必须设（推荐 100），防止高并发耗尽文件描述符；不设的话，长连接池会无限增长 -
IdleConnTimeout推荐 30 秒，与下游 HTTP server 的 keep-alive timeout 对齐 -
ResponseHeaderTimeout显式设为 5–8 秒（比下游 P99 高 2 秒即可），太短误杀，太长拖垮并发 - 别碰
TLSClientConfig.InsecureSkipVerify上线环境——那是测试用的，必须删
fregata 启动必须加载 proto 文件才能做协议转换
fregata 的核心能力（HTTP ↔ gRPC 转换）依赖于 .proto 定义，不是靠反射或约定，而是解析生成反向代理逻辑。没 proto，就只能做透明 HTTP 转发，失去 Kratos 生态最大优势。
-
proto文件必须放在fregata可访问路径下，推荐统一存到./api/proto - 启动命令需显式指定：
fregata --proto-dir=./api/proto --config=config.yaml -
proto中package名和service名必须与下游 BFF 的 gRPC Service 严格一致，否则返回 404 - 若
proto有google.api.http注解，fregata才能自动映射 HTTP 路径到 gRPC 方法
最易被忽略的是配置字段敏感性和时间同步：YAML 里把 endpoints 写成 endpoint，fregata 静默跳过该路由，日志无提示；JWT exp 校验失败八成不是 token 过期，而是网关服务器时间没同步，systemd-timesyncd 默认 5 分钟同步一次，压测时完全不够用。
