gin.Default() 会暴露调试信息，因其默认启用 HTML debug mode，在模板出错时渲染完整错误堆栈并显示文件路径，可能泄露项目结构或敏感字段名；生产环境须改用 gin.New() 并设置 gin.ReleaseMode。
为什么用 gin.Default() 会暴露调试信息？
直接用 gin.Default() 启动服务时，Gin 默认启用 gin.Logger() 和 gin.Recovery()，但更重要的是——它在开发环境下自动开启 HTML debug mode。一旦模板出错（比如简历 JSON 结构缺失字段），Gin 会渲染完整错误堆栈并显示文件路径，可能泄露项目结构或敏感字段名。
- 生产环境必须替换为
gin.New()，手动注册中间件，并禁用gin.SetMode(gin.ReleaseMode) - 模板渲染前加校验：用
json.Unmarshal()预检用户提交的简历 JSON 是否含必填字段（如Name、Email），失败则返回400 Bad Request而非 panic - 避免在 HTML 模板里直接写
{{.Phone}}这类裸字段，改用{{if .Phone}}{{.Phone}}{{else}}—{{end}}，防止空指针渲染异常
如何安全接收并解析用户提交的简历 JSON？
Gin 的 c.ShouldBindJSON() 看似方便，但它默认不做字段白名单控制，用户可能塞入恶意字段（如 __proto__、constructor）干扰结构体绑定，甚至触发原型污染。
- 定义严格结构体，所有字段加
json:"name,omitempty"标签，且首字母大写（导出）；非导出字段不会被绑定 - 禁用未知字段：在结构体上加
json:",disallowunknown"（Go 1.20+）或用第三方库如go-playground/validator/v10做字段级校验 - 不要信任前端传来的
template_name：硬编码支持的模板列表（如[]string{"classic", "modern"}），用map[string]struct{}快速判断是否合法，防止路径遍历（如传../../../etc/passwd）
生成 PDF 时为什么 gofpdf 渲染中文乱码？
gofpdf 默认不支持 UTF-8 中文，即使加载了字体文件，若未正确设置 SetTextColor 或混用 AddPage 和 SetXY 顺序，仍会丢字或偏移。
- 必须显式调用
pdf.AddFont("simhei", "", "simhei.ttf")（字体文件需放在可读路径），然后pdf.SetFont("simhei", "", 12) - 避免用
Cell()写长文本：改用MultiCell()并提前计算高度，否则中文换行错位 - 更稳妥方案是改用
chromedp+ Headless Chrome 渲染 HTML 模板为 PDF：先用 Gin 渲染简历 HTML（带内联 CSS），再用chromedp.Run()截图转 PDF，天然支持 CSS Flex/Grid 布局和字体
静态资源（CSS/JS/字体）怎么部署才不 404？
Gin 的 c.StaticFS() 容易配错路径：比如把 public/css 映射到 /static，但 HTML 里写的是 /css/style.css，导致请求 /css/style.css 404。
- 统一用
router.Static("/static", "./public")，然后所有资源引用写成/static/css/style.css - 字体文件（如
simhei.ttf）必须放在./public/fonts/下，并在 CSS 中用@font-face { src: url('/static/fonts/simhei.ttf'); } - 开发时用
go run .启动，确保当前工作目录是项目根目录（含go.mod）；否则./public路径失效
PDF 字体嵌入、HTML 模板变量逃逸、静态资源路径拼接——这些点单独看简单，但串在一起就容易漏掉一环，导致生成的简历缺字、错位或 500 报错。动手前先跑通一个最小 HTML 模板渲染流程，再逐个加固。
