Gin不支持多级子域名路由，因其路由仅匹配URL.Path而忽略Host头，无内置host分发机制；需在http.Handler层手动解析Host并转发至独立gin.Engine实例，禁止修改r.Request.Host或复用gin.Default()。
为什么 gin.Engine 本身不支持多级子域名路由
因为 Gin 的路由匹配只基于 Request.URL.Path，完全忽略 Host 头；它没有内置 host-level 分发机制。你写 r.GET("/api/users", handler)，无论请求来自 api.example.com 还是 admin.api.example.com，只要路径匹配就进来了——Host 字段压根没被路由层消费。
这不是 bug，是设计取舍：Gin 定位轻量 HTTP 路由器，不是全功能网关。想靠 gin.Default() 直接注册 subdomain="admin" 是行不通的，那属于 Flask 或 Django 的语义，Gin 没这个参数。
- 所有子域名分发必须在顶层
http.Handler层手动拦截、解析、转发 - 不能依赖
gin.RouterGroup的任何“自动 host 匹配”能力（它不存在） - 若强行用中间件修改
r.Request.Host再做路由重写，会破坏Context生命周期，引发 panic 或 header 写入冲突
怎么实现 api.admin.example.com → 独立子 router
核心是「启动时建好查表 + 请求时按 host 转发」。不要在每次请求里解析通配符或编译正则——性能扛不住。
白名单建议用 map[string]*gin.Engine，key 是标准化后的完整 host（小写、去端口），value 是对应子域的独立 gin.Engine 实例：
hostMap := map[string]*gin.Engine{
"api.admin.example.com": gin.New(),
"admin.example.com": gin.New(),
"example.com": gin.New(),
}
- 每个子
gin.Engine必须调用gin.New()，绝不能共用gin.Default()—— 否则 Recovery、Logger 中间件会互相污染 - 域名标准化逻辑要统一：转小写、去掉
:443/:80、不处理通配符（*.admin.example.com需提前展开为具体域名或走正则匹配层） - 转发必须用
subRouter.ServeHTTP(w, r)，不能改r.URL.Path后塞回原 router——否则c.FullPath()错乱、中间件栈错位
泛域名（*.admin.example.com）怎么安全匹配
直接存 "*.admin.example.com" 到 map 里查不到——map key 是精确匹配。你需要额外一层 host 解析逻辑，在查表前做判断。
推荐做法：预加载时把泛域名转成正则，运行时用 regexp.MatchString 扫描，但仅限少量泛规则（比如 ≤5 条）。高频访问场景下，正则编译和执行开销远高于 map 查找。
- 泛匹配必须放查表逻辑之后：先查精确 match，没命中再跑正则
- 正则 pattern 应预编译：如
regexp.MustCompile(`^[a-z0-9.-]+\.admin\.example\.com$`)，避免每次请求重复 compile - 注意通配符语义：浏览器发来的
Host是dev.admin.example.com，不是https://dev.admin.example.com，别在正则里加协议头 - 若泛规则很多（如上百个租户子域），改用前缀树（trie）或 DNS-style 分层 map，例如
map[string]map[string]*gin.Engine{"example.com": {"admin": adminRouter}}
本地调试时 Host 头总不对怎么办
开发机上直接 curl http://api.admin.example.com:8080，实际发出的 Host 头仍是 api.admin.example.com:8080，但你的 Nginx 或 hosts 映射可能没生效，导致请求根本没到 Gin 进程。
最稳的本地验证方式是绕过 DNS，直连并手动设 Host：
curl -H "Host: api.admin.example.com" http://127.0.0.1:8080/users
- Windows/macOS 都要改
/etc/hosts或C:\Windows\System32\drivers\etc\hosts，加一行：127.0.0.1 api.admin.example.com - 浏览器访问时，确保地址栏显示的是
http://api.admin.example.com:8080，而不是 IP，否则 Host 头不会带子域名 - 用 Wireshark 或
net/http/httputil.DumpRequest打印原始请求，确认Host头值——这是唯一可信依据，别猜
泛域名和精确域名的解析逻辑一旦混用，很容易漏掉某类请求；查表结构选 map 还是 trie，取决于白名单规模和更新频率——这俩选择没对错，只有是否匹配你的真实流量特征。
