中间件中不应直接用context.WithTimeout包裹handler，而应在service层调用点添加超时与降级逻辑；中间件仅负责错误识别与分流，fallback响应须轻量、无依赖、可缓存，并通过atomic.Bool热更新开关。
中间件里不能直接用 context.WithTimeout 包裹 handler
因为 echo.Context 本身已绑定请求生命周期，其底层 http.Request.Context() 在连接关闭或超时时会自动取消。若在中间件中手动套一层 context.WithTimeout，会导致 context 层级混乱、cancel 信号重复触发，甚至让 fallback 逻辑永远不执行。
正确做法是：把降级逻辑下沉到 service 层调用点，中间件只负责传递和感知错误类型。比如 DB 查询、RPC 调用、HTTP client 请求这些外部依赖，才需要加超时 + fallback；而 handler 自身的 JSON 解析、参数校验等同步操作无需降级。
- 中间件职责是统一错误分类（如识别
context.DeadlineExceeded、errors.Is(err, ErrServiceUnavailable)） - 真正加
context.WithTimeout的位置，应在 service 层封装的GetUser(ctx, id)或CallPaymentAPI(ctx, req)内部 - 中间件拿到 error 后，只做判断和分流，不重试、不重写 ctx
如何用中间件识别并触发降级响应
降级不是“返回默认值”，而是根据错误类型决定是否走备用逻辑。Echo 没有内置降级中间件，必须手写一个轻量 wrapper，且要避开 c.JSON() 直接输出——否则绕过全局错误处理链，日志和监控全丢。
推荐结构：在中间件中用 next(c) 执行原 handler，捕获 error，再按类型分发：
- 若 error 是
context.DeadlineExceeded或自定义的ErrDownstreamTimeout→ 调用fallbackHandler(c) - 若 error 是
*echo.HTTPError（比如echo.NewHTTPError(503)）→ 透传，交由HTTPErrorHandler统一处理 - 其他 panic 类错误？别在这儿兜——确保顶层已注册
middleware.Recover()，否则整个 goroutine 挂死
示例片段：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
func degradationMiddleware(fallback echo.HandlerFunc) echo.MiddlewareFunc {
return func(next echo.HandlerFunc) echo.HandlerFunc {
return func(c echo.Context) error {
err := next(c)
if err != nil {
var timeoutErr *net.OpError
if errors.As(err, &timeoutErr) || errors.Is(err, context.DeadlineExceeded) {
return fallback(c)
}
}
return err
}
}
}
fallback 响应必须轻量、无依赖、可缓存
降级响应一旦启用，说明主链路已不可靠。此时再查缓存、调 DB、拼模板，等于把故障面扩大。真正的 fallback 应该是内存常量或预加载 map 查表。
- 禁止在
fallbackHandler里调c.Bind()、c.Get("user")等可能 panic 的方法 - 避免使用
c.Render()（依赖 template）、c.File()（依赖磁盘 IO） - 推荐用
c.JSONBlob(http.StatusOK, cachedJSON)或c.String()，其中cachedJSON是启动时就json.Marshal好的[]byte - 如果 fallback 需带部分动态字段（如时间戳），仅限
time.Now().Unix()这类纯内存操作
动态开关降级功能的关键位置
线上不可能永远开降级。开关必须能热更新，且不能依赖中间件初始化时的闭包变量——那会导致重启才生效。
最稳妥的方式是挂载到 echo.Echo 实例的 Map 中，并用 sync.RWMutex 保护读写：
- 启动时：
e.Map["degrade_enabled"] = atomic.Bool{} - 中间件内：
if enabled, _ := e.Map["degrade_enabled"].(atomic.Bool); enabled.Load() { ... } - 提供一个 admin 接口（如
POST /admin/degrade/toggle）调用enabled.Store(true/false)
别用环境变量或配置文件监听——变更后需 reload 进程，而 Go HTTP server reload 本身就有连接中断风险。
真正难的从来不是写 fallback 函数，而是厘清哪些错误该降级、哪些必须熔断、哪些得告警。一个没配好超时的下游调用，可能让整个接口雪崩；一个没加锁的开关变量，会让降级在高并发下随机失效。
