sync.Once仅保证初始化函数最多执行一次，必须将其与包级变量、错误处理、完整初始化逻辑（含I/O和校验）及非空保障结合使用，否则易引发并发读写、静默失败或重复初始化等问题。
sync.Once 是唯一靠谱的起点，但只用它远远不够——它只保初始化一次，不保配置安全、不保热重载、不保错误可感知。直接导出 var Config *Config 或写个 NewConfig() 当“构造函数”，八成会在线上环境踩坑。
为什么 sync.Once 必须包裹全部初始化逻辑，不能只包 &Config{}
常见错误是把耗时/易错步骤甩到 once.Do 外面，比如：
-
once.Do(func() { instance = &Config{} })，然后在外面调instance.LoadFromFile() - 或更隐蔽的：
once.Do(func() { instance = NewConfig() })，而NewConfig()里又调了os.ReadFile和viper.Unmarshal
后果是：并发下多个 goroutine 都会执行 LoadFromFile 或 NewConfig()，重复读文件、重复解析 YAML、甚至重复建数据库连接。
正确做法是把整个初始化链路塞进闭包里：
once.Do(func() {
c := &Config{}
if err := c.loadFromYAML("config.yaml"); err != nil {
initErr = err
return
}
if err := c.validate(); err != nil {
initErr = err
return
}
instance = c
})
注意两点：所有 I/O 和校验必须在闭包内；initErr 是包级 error 变量，后续 GetConfig() 要检查它。
立即学习“go语言免费学习笔记（深入）”；
GetConfig() 必须返回指针，但绝不能让人随便改
配置对象本身不是线程安全的。如果结构体含 map、[]string 或指针字段，多 goroutine 直接读写会导致 fatal error: concurrent map writes。
所以：
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 初始化完成后，禁止外部修改字段（比如
Config.Timeout = 10） - 若需运行时更新（如热重载），必须整对象替换，不能逐字段赋值
- 推荐用
atomic.Value存储配置指针：var config atomic.Value，reload()时config.Store(&newConfig)，GetConfig()用config.Load().(*Config)
别图省事在 GetConfig() 里返回 *Config 后还允许调用方做 c.Hosts = append(c.Hosts, "x") —— 这等于把全局状态暴露给所有协程乱写。
带参数初始化？别让 GetConfig(env string) 出现在生产代码里
写成 GetConfig("prod") 看似灵活，实际破坏单例语义：
- 每个
env都触发一次once.Do，sync.Once失效 - 变成对象池，不是单例；且无法保证不同 env 的实例不互相干扰
- 命令行参数、环境变量应在
main()开头就解析好，再调一次InitConfig(env)
真正可行的路径只有两条：
- 启动时确定环境，调
InitConfig("prod")（内部用sync.Once），之后所有GetConfig()无参 - 用包级变量提前设好
var configEnv string，确保在任何GetConfig()调用前已赋值，once.Do闭包里读它
绝对不要在 GetConfig() 参数里传路径、DSN 或配置名——那等于放弃线程安全和单例承诺。
初始化失败怎么办？静默 panic 比报错更危险
很多人在 once.Do 里 panic(err)，结果服务启动成功但某个模块第一次调 GetConfig().DB.Query() 就崩。这比启动失败更难排查。
必须显式暴露失败状态：
- 定义包级变量
var initErr error - 在
once.Do闭包末尾设它，GetConfig()开头检查：if initErr != nil { return nil, initErr } - 关键依赖（如 Redis 连接）要做探活：
redis.Ping()，不能只靠redis.Dial()返回非 nil 就认为可用
最常被忽略的是：配置单例一旦初始化失败，后续所有调用都应明确失败，而不是返回一个半残的 *Config 让下游自己 panic。
once.Do、错误是否可捕获、读写是否真正隔离、参数是否在启动时收敛——这四点漏掉任何一个，都会让单例从便利变成隐患。 
