生产环境必须用 fiber.New() 初始化并手动挂载安全中间件，fiber.Default() 默认开启高危日志、panic堆栈和无采样RequestID；helmet仅设基础头，CSP、CSRF需额外配置；CORS白名单须精确匹配协议/端口/路径；CSRF Token须绑定会话、HttpOnly Cookie下发且禁用GET状态修改。
生产环境直接用 fiber.Default() 配安全中间件等于裸奔——日志泄露密钥、CSP头没生效、CORS放行了所有源，这些都不是“加个中间件”就能解决的。
fiber.New() 是安全配置的起点，不是可选项
所有安全中间件必须挂载在 fiber.New() 创建的空实例上。用 fiber.Default() 启动，等于默认开了 Logger（输出完整 Authorization 头）、Recover（暴露 panic 堆栈）、RequestID（无采样直写），上线即高危。
- 开发阶段可用
fiber.Default()快速验证逻辑，但上线前必须切到fiber.New() - 安全中间件如
cors.New()、csurf.New()、helmet.New()全部要手动注册，不能依赖默认行为 - 若需日志，用结构化日志库（如
zerolog）+ 采样策略，而非fiber.Logger()
helmet.New() 不等于自动防 XSS/CSRF
helmet.New() 只设置基础安全响应头（X-Content-Type-Options、X-Frame-Options 等），它不处理 CSP、不校验 Referer、不生成 CSRF Token。常见误判是以为开了 helmet 就万事大吉。
- CSP 策略必须显式传入
ContentSecurityPolicy字段，例如：helmet.Config{ContentSecurityPolicy: "default-src 'self'; script-src 'self' 'unsafe-inline'"} - CSRF 防护需搭配
csurf.New()，且必须确保 POST/PUT/DELETE 路由走该中间件，静态资源路由（如/public/*）应跳过 -
X-Frame-Options: DENY对现代应用可能太粗暴，若需嵌入 iframe，得换用Content-Security-Policy: frame-ancestors 'none'并显式配置
CORS 中间件的 origin 白名单必须精确匹配
cors.New() 默认允许所有源（AllowOrigins: "*"），这在生产环境等同于关闭跨域防护。即使你写了 AllowOrigins: []string{"https://a.com", "https://b.com"}，也容易因协议、端口、尾部斜杠不一致而失效。
立即学习“go语言免费学习笔记（深入）”；
- 前端发请求时 Origin 是
https://a.com:8080，但白名单只写了https://a.com→ 拒绝 - 前端路径带斜杠（
https://a.com/），白名单没带 → 拒绝（StrictRouting 影响的是路由匹配，不是 CORS 校验） - 动态 origin 场景（如多租户子域名），别用
AllowOriginsFunc直接返回true，应解析 host 后做白名单比对，避免正则绕过
CSRF Token 必须绑定会话且校验 method
csurf.New() 默认对所有非 GET/HEAD/OPTIONS 请求校验 token，但若没配 session 存储或没在 handler 里调 c.Locals("csrf_token")，前端根本拿不到 token；更危险的是，有人把 token 放 query string 里传，导致泄露。
- 必须配合 session 中间件（如
session.New()），且csurf的KeyGenerator应设为强随机函数，别用默认时间戳 - token 应通过
Set-Cookie（HttpOnly+SameSite=Strict）下发，前端 JS 用document.cookie读取后塞进X-CSRF-Tokenheader - GET 请求不校验 token，但若业务中存在“GET 修改状态”的接口（如
/api/logout），必须显式禁用该路由的 CSRF 跳过逻辑，或重构成 POST
安全中间件不是开关，是链条：每个环节（初始化方式、参数值、路由注册顺序、前后端协作方式）错一点，整条链就断。尤其 helmet 和 csurf 的配置项命名模糊，比如 CookieSameSite 实际控制的是 token cookie 的 SameSite 属性，和你的主 session cookie 无关——这种细节不翻源码根本意识不到。
