Go连接云MySQL必须显式启用TLS（如tls=require），否则即使服务端强制SSL也走明文；未调用db.PingContext()设超时或未按云实例规格配置连接池，易致静默降级或Too many connections。
Go 连接云 MySQL 时 TLS 必须显式启用
不加 tls=true 或等效配置，连接会走明文 TCP，哪怕数据库本身强制 SSL，Go 驱动也不会自动协商——这是云数据库（AWS RDS、Cloud SQL）最常被忽略的安全缺口。
-
tls=true要求服务端有有效证书；若用自签名或测试环境，改用tls=skip-verify，但仅限开发阶段 - 某些 RDS 实例默认只接受
tls=preferred或require，tls=false直接被拒绝，错误信息类似ERROR 3159 (HY000): Connections using insecure transport are prohibited - DSN 中必须把
tls参数拼在末尾，且不能被 URL 编码干扰，例如?tls=true&timeout=30s是合法的，?tls%3Dtrue会被驱动忽略
sql.Open() 后必须调用 db.Ping() 才能暴露真实连接错误
sql.Open() 只校验 DSN 语法，不真正建连；真正失败往往发生在首次查询或 db.Ping() 时。云环境 DNS 解析慢、安全组未放行、IAM 认证延迟都可能让 Ping() 卡住或报错。
- 务必在初始化后立即调用
db.Ping()并设超时：ctx, cancel := context.WithTimeout(context.Background(), 10*time.Second); defer cancel(); err := db.PingContext(ctx, nil) - 错误如
dial tcp: lookup your-rds-endpoint.rds.amazonaws.com: no such host表示 DNS 不可达，不是密码错 - 错误如
read: connection timed out多半是安全组/网络 ACL 拦截了 3306 端口，而非数据库服务未启动
GORM 初始化前必须校验所有 DSN 字段非空
用 Viper、envconfig 等加载配置时，v.GetString("db.host") 返回空字符串不会报错，但拼出的 DSN 会变成 @tcp(:)/，触发底层 dial tcp: unknown port tcp/ 错误——这不是驱动问题，是配置漏加载。
- 在调用
gorm.Open()前，逐个检查host、port、user、password、dbname是否为空，任一为空立即 panic 或 log.Fatal - 推荐用结构体绑定配置，利用 Go 的零值语义：定义
type DBConfig struct { Host string `mapstructure:"host" validate:"required"` }，配合 validator 库做字段级校验 - 云数据库的 endpoint 常含点号和连字符（如
myapp-prod-12345.us-east-1.rds.amazonaws.com），确保配置文件中没被 YAML 注释符号#截断
连接池参数必须按云实例规格反向配置
云数据库的连接数上限是硬限制（RDS MySQL 默认 100，Cloud SQL 可配但有配额），而 Go 默认 SetMaxOpenConns(0)（无上限），极易触发 Too many connections。
立即学习“go语言免费学习笔记（深入）”；
- 设
db.SetMaxOpenConns(N)时，N 应 ≤ 云控制台里该实例的max_connections值的 70%，留余量给后台任务和管理员连接 -
db.SetMaxIdleConns(N)建议与MaxOpenConns相同，避免频繁新建/销毁连接；云环境网络延迟高，复用 idle 连接收益明显 -
db.SetConnMaxLifetime(5 * time.Minute)是必须项，否则长连接可能因云负载均衡器超时（如 ALB 默认 3600 秒）被静默断开，后续请求报invalid connection
实际部署时最容易被跳过的，是 db.PingContext() 的超时封装和连接池生命周期与云实例规格的对齐——这两步不做，应用上线后大概率在流量高峰或跨可用区故障时静默降级。
