生产部署 Gin 必须显式指定监听地址（如 "127.0.0.1:8080" 或 ":8080"），禁用默认的 0.0.0.0 绑定；需同步配置云安全组与系统防火墙，配合 Nginx 反向代理并透传 X-Real-IP 等头信息，HTTPS 应由反向代理终止而非 r.RunTLS()。
部署 Gin 项目时端口监听必须显式处理
Gin 默认的 r.Run() 监听 :8080，但生产环境几乎从不直接暴露该端口——它只是开发默认值，不是部署约定。你必须主动控制监听地址和端口，否则会因权限、冲突或云平台限制失败。
常见错误现象：服务启动无报错，但 curl http://localhost:8080 超时；或日志显示 listen tcp :8080: bind: address already in use；又或部署到腾讯云/阿里云后完全无法访问。
- 本地调试用
r.Run(":3000")或r.Run("127.0.0.1:8080")，避免绑定0.0.0.0引发的本地防火墙拦截 - 云服务器（如腾讯云）上，
r.Run(":8080")是合法的，但必须确保系统级防火墙和云平台安全组同时放行该端口 - 推荐做法：从环境变量读取端口，
r.Run(":" + os.Getenv("PORT"))，这样适配 Render、Koyeb、Railway 等平台自动注入的PORT - 若用
http.Server手动启动（如需 HTTPS 或优雅关闭），务必检查Addr字段是否含冒号，写成"8080"会 panic 报错missing port in address
腾讯云/阿里云等云主机需同步配置两层防火墙
云服务器的“防火墙”不是单一概念：操作系统自带的 ufw 或 firewalld 是一层，云厂商控制台里的“安全组”是另一层。只开其中一层，请求照样被丢弃。
典型场景：你在腾讯云 CVM 上跑 Gin，监听 :8080，ufw status 显示已允许 8080，但外网仍连不上——大概率是安全组没配。
- 腾讯云控制台 → 云服务器 → 实例详情 → 安全组 → 配置规则 → 添加入站规则：协议类型 TCP，端口范围
8080，源 IP0.0.0.0/0（或按需限制） - Linux 系统内，确认
ufw已启用且放行：sudo ufw allow 8080；若用firewalld，运行sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload - MySQL 等配套服务同理：Gin 连数据库失败，常因云主机安全组未开放
3306，而非 Go 代码问题 - 不要在代码里硬编码
"localhost:3306"连 DB——改用环境变量，否则换环境就得改代码
反向代理（Nginx）部署时，Gin 应监听回环地址
生产环境极少让 Gin 直面公网。更安全、灵活的做法是用 Nginx 做反向代理，此时 Gin 只需监听 127.0.0.1:8080，由 Nginx 统一处理 TLS、静态资源、负载均衡和 WAF 规则。
错误配置示例：Nginx 配置了 proxy_pass http://127.0.0.1:8080，但 Gin 启动的是 r.Run(":8080")，导致服务绑定了所有接口，绕过 Nginx 的安全控制。
- Gin 启动时明确指定回环地址：
r.Run("127.0.0.1:8080")，禁止外部直连 - Nginx 配置中确保
proxy_set_header Host $host和proxy_set_header X-Real-IP $remote_addr，否则 Gin 的c.ClientIP()会拿到127.0.0.1 - 若 Gin 需要识别 HTTPS 协议（比如生成绝对 URL），Nginx 必须透传
X-Forwarded-Proto：proxy_set_header X-Forwarded-Proto $scheme - 别忽略
client_max_body_size——上传大文件时，Nginx 默认 1MB，Gin 收不到完整 body 就会静默截断
HTTPS 部署时证书路径和权限最容易出 silent failure
r.RunTLS() 表面简单，但失败时不报具体原因，只表现为连接被拒绝或浏览器提示“不安全”。根本原因通常不是证书无效，而是文件路径、格式或权限不对。
典型静默失败：curl https://your-domain.com 返回 empty reply，openssl s_client -connect your-domain.com:443 显示 SSL handshake failed，但 Gin 日志无任何错误。
- 证书和私钥必须是 PEM 格式；若从腾讯云下载的是
.crt和.key，直接可用；若为 PFX，需用openssl pkcs12 -in cert.pfx -clcerts -nokeys -out cert.pem提取 - 私钥文件权限必须为
0600（chmod 600 key.pem），Linux 下0644会被 Go 拒绝加载，错误信息却是误导性的private key does not match public key - 路径用绝对路径最稳，
r.RunTLS(":443", "/etc/ssl/fullchain.pem", "/etc/ssl/privkey.pem")；相对路径依赖当前工作目录，Docker 或 systemd 启动时极易错位 - 443 端口需要 root 权限，生产建议用 Nginx 终止 TLS，Gin 仍走 HTTP 回环通信，更安全也免权限问题
