Go微服务自实现流量镜像首选httputil.NewSingleHostReverseProxy，因其天然处理header、host、transfer-encoding及streaming请求，但须重写Director设置URL.Host/Scheme，配置FlushInterval防卡顿，ModifyResponse过滤Set-Cookie/Location，并用独立超时client异步发送。
Go 微服务里做流量镜像，主链路不能慢、body 不能丢、失败不能拖垮服务——自实现比 Istio 更可控，但必须绕开 req.Body 只能读一次这个坑。
为什么 httputil.NewSingleHostReverseProxy 是首选方案
它天然处理 header、host、transfer-encoding，支持 streaming 请求（比如文件上传、SSE），比手写 http.Client 更稳。但默认不处理 req.Body 复用和 Upgrade/Connection 头，直接用会丢 WebSocket 或卡住大请求。
- 必须重写
Director函数：显式设置mirrorReq.URL.Host和mirrorReq.URL.Scheme，NewSingleHostReverseProxy不会自动覆盖目标地址 - 对 streaming 请求，要设
FlushInterval（如time.Millisecond * 10），否则镜像可能滞留在缓冲区 - 镜像响应里的
Set-Cookie、Location必须在ModifyResponse中删掉，否则污染主链路 - 若镜像目标是 HTTPS，需在
Transport中配置InsecureSkipVerify: true（仅测试环境）或正确加载 CA
req.Body 读取与复用的三种典型错误
90% 的镜像失败源于 body 被消费后主 handler 解析失败，报 invalid character '}' after top-level value 或空 struct。根本原因是 req.Body 是 io.ReadCloser，不可重复读。
- 错：直接
io.Copy(ioutil.Discard, r.Body)—— 主 handler 拿不到 body - 错：用
bytes.Buffer全量缓存大文件请求 —— OOM 风险高，尤其上传 100MB 文件时 - 对：用
io.TeeReader分流，或先io.ReadAll(req.Body)再用bytes.NewReader()分别塞给主 handler 和镜像 proxy - 必须调用
req.Clone(req.Context())创建镜像请求，否则改Header或Host会影响主流程
性能与可观测性必须同步考虑
镜像本身不该成为性能瓶颈，也不能掩盖真实问题。Istio 的镜像在 Envoy 层发生，Go 服务完全感知不到成功与否；自实现则可精确记录耗时、状态码、错误类型。
立即学习“go语言免费学习笔记（深入）”；
- 镜像请求必须用独立
http.Client，超时设为200ms或更短，绝不能沿用主链路超时 - 禁用重定向：
CheckRedirect: func(req *http.Request, via []*http.Request) error { return http.ErrUseLastResponse }，防止旁路触发循环或重放攻击 - 加
X-Mirror-Source: order-svc标识，方便在目标服务日志中区分镜像流量 - 敏感字段过滤：比如检查
req.Header.Get("X-Auth-Type") == "internal"后跳过镜像，避免泄露内部调用 - QPS 限流：用
golang.org/x/sync/semaphore控制并发镜像数，防止单点打爆测试服务
本地开发与生产开关怎么设计才不踩坑
环境差异是最大陷阱：K8s 里 Istio Sidecar 可能拦截镜像请求，而本地没 Sidecar 就走不通；反过来，本地启了镜像但生产忘了关，就会把真实流量发到测试环境。
- 开关必须是运行时配置项，比如环境变量
MIRROR_ENABLE=true+MIRROR_URL=http://traffic-mirror:8080，不能编译期硬编码 - 生产环境默认关闭，开启需双确认（配置 + 运维审批），避免误操作
- 镜像目标域名必须可解析：K8s 内用短名
traffic-mirror，本地用localhost:8080，通过配置区分 - 务必在日志里打标：
mirror=enabled url=http://traffic-mirror:8080，出问题时一眼定位是否生效
最易被忽略的是 TraceID 处理——镜像请求如果透传原 X-Request-ID 或 traceparent，APM 会把它和主请求串成同一条链路，导致指标混乱；但全丢又没法关联分析。折中做法是派生新 ID 并加 X-Mirror-Original-ID 回传，既隔离链路又保留溯源能力。
