应复用 http.Client 实例，全局配置 Transport 连接池与超时参数，并用 context 控制单次请求生命周期，避免新建客户端、默认配置滥用及证书验证误跳过。
复用 http.Client 实例，别每次请求都新建
Go 的 http.Client 是并发安全的，且内部维护连接池（http.Transport），频繁新建会导致大量短连接、TLS 握手开销和文件描述符浪费。常见错误是把 http.Client 写在函数里，每次调用都 new(http.Client)。
正确做法是全局复用一个实例，或按业务场景（如不同超时/代理）定义少数几个客户端：
var defaultClient = &http.Client{
Timeout: 10 * time.Second,
Transport: &http.Transport{
MaxIdleConns: 100,
MaxIdleConnsPerHost: 100,
IdleConnTimeout: 30 * time.Second,
TLSHandshakeTimeout: 10 * time.Second,
},
}-
MaxIdleConns和MaxIdleConnsPerHost需显式设置，否则默认为 2，极易成为瓶颈 - 如果服务端支持 HTTP/2，确保 Go 版本 ≥ 1.6 且未禁用（
ForceAttemptHTTP2: true默认已开启） - 避免在高并发 goroutine 中隐式共享未配置的默认
http.DefaultClient，它用的是包级全局http.DefaultTransport，参数不可控
合理设置 http.Transport 连接池与超时
连接池参数不匹配后端能力，会引发连接堆积、TIME_WAIT 暴增或请求卡死。典型表现是压测时 QPS 上不去、dial tcp: lookup xxx: no such host 突增（DNS 缓存未生效）、或 context deadline exceeded 集中出现。
关键配置项需结合实际链路调整：
立即学习“go语言免费学习笔记（深入）”；
-
IdleConnTimeout：空闲连接保活时间，建议设为略小于后端反向代理（如 Nginx）的keepalive_timeout，常见设为 30–60s -
TLSHandshakeTimeout：避免 TLS 握手慢拖垮整个连接池，建议 ≤ 10s -
ResponseHeaderTimeout：从发送完 request 到收到 response header 的上限，防后端卡在逻辑处理但不写 header - 若后端是 Kubernetes Service，注意
MaxIdleConnsPerHost应 ≥ 后端 Pod 数 × 单 Pod 处理并发能力，否则连接会被轮询打散，无法复用
用 context.WithTimeout 控制单次请求生命周期
仅靠 http.Client.Timeout 不足以覆盖所有阻塞点：DNS 解析、TCP 连接建立、TLS 握手、response body 读取等阶段都可能超时。必须用 context 显式控制。
错误写法：client.Get("https://api.example.com") —— 完全无超时，goroutine 可能永久挂起。
推荐写法：
ctx, cancel := context.WithTimeout(context.Background(), 5*time.Second) defer cancel() req, _ := http.NewRequestWithContext(ctx, "GET", "https://api.example.com", nil) resp, err := client.Do(req)
-
context.WithTimeout优先于http.Client.Timeout，前者会中断正在执行的底层操作（包括 DNS 查询） - 务必调用
cancel()，否则 context 泄漏会拖慢 GC - 如果需要重试，用
context.WithDeadline或组合time.AfterFunc控制总耗时，避免指数退避导致总超时失控
跳过证书验证？先确认是不是真要跳过
开发环境常加 tls.Config{InsecureSkipVerify: true} 来绕过证书错误，但这会关闭全部 TLS 验证，带来中间人风险，且某些企业网络（如带 SSL 解密的防火墙）反而因 SNI 或 ALPN 不匹配失败。
更稳妥的做法：
- 测试环境用私有 CA 签发证书，并将根证书加入
tls.Config.RootCAs - 若必须跳过，仅对特定域名生效，而非全局设置：
if req.URL.Host == "test-api.local" { transport.TLSClientConfig.InsecureSkipVerify = true } - 注意：Go 1.19+ 对自签名证书的错误提示更明确，
x509: certificate signed by unknown authority通常意味着系统信任库缺失，而非一定要跳过验证
连接复用、超时控制和上下文管理这三件事，漏掉任意一个，HTTP 客户端在高并发或弱网下就大概率出问题——而这些问题往往不会在本地调试时暴露。
