Go 的 net/http 包虽开箱即用，但需注意端口冲突panic、路由注册时机、handler签名正确性、路径匹配缺陷、请求体解析顺序、静态文件路径穿越等关键陷阱。
Go 的 net/http 包开箱即用，不需要额外框架就能跑起一个生产可用的 Web 服务——但直接上手容易在路由、中间件、错误处理这些地方掉坑里。
用 http.HandleFunc 和 http.ListenAndServe 启动最简服务
这是零依赖启动 Web 服务的底线写法。关键不是“能不能跑”，而是“怎么避免 panic 崩溃”：
-
http.ListenAndServe默认监听:8080，端口被占会直接 panic，建议显式传入nil第二个参数（使用默认http.DefaultServeMux），并用log.Fatal包一层捕获错误 - 路由注册必须在
ListenAndServe之前，否则请求进来时找不到 handler，返回 404 且无提示 - 函数签名必须是
func(http.ResponseWriter, *http.Request)，少一个星号或类型错位，编译不报错但运行时 panic
func main() {
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
w.WriteHeader(200)
w.Write([]byte("Hello, Go"))
})
log.Fatal(http.ListenAndServe(":8080", nil))
}
手动实现多路径路由时别硬写 if-else 链
当需要支持 /users、/posts 等多个路径，用 r.URL.Path 做字符串比对看似简单，但很快会失控：
- 路径末尾斜杠是否允许（
/users/vs/users）需手动 trim，否则 404 - 带参数的路径如
/users/123无法提取 ID，得靠正则或第三方库，自己写易出错 - HTTP 方法（GET/POST）混在一起处理，容易忽略方法校验，导致 POST 请求被 GET handler 处理
更稳的做法是：用 switch r.Method + strings.HasPrefix 做粗筛，再进具体 handler 做细粒度解析。例如：
立即学习“go语言免费学习笔记（深入）”；
TURF(开源)权限管理系统
下载
TURF（开源）权限定制管理系统（以下简称“TURF系统”），是蓝水工作室推出的一套基于软件边界设计理念研发的具有可定制性的权限管理系统。TURF系统充分考虑了易用性，将配置、设定等操作进行了图形化设计，完全在web界面实现，程序员只需在所要控制的程序中简单调用一个函数，即可实现严格的程序权限管控，管控力度除可达到文件级别外，还可达到代码级别，即可精确控制到
http.HandleFunc("/api/", func(w http.ResponseWriter, r *http.Request) {
switch r.URL.Path {
case "/api/users":
if r.Method == "GET" { listUsers(w, r) }
if r.Method == "POST" { createUser(w, r) }
case "/api/users/":
// 注意末尾斜杠，避免 /api/users/123 被误匹配
if strings.HasPrefix(r.URL.Path, "/api/users/") {
id := strings.TrimPrefix(r.URL.Path, "/api/users/")
if id != "" { getUser(w, r, id) }
}
}
})
读取请求体前务必调用 r.ParseForm 或 r.Body 手动读取
很多人卡在拿不到 r.FormValue 或 r.PostForm，根本原因是没触发解析流程：
-
r.FormValue仅对application/x-www-form-urlencoded和multipart/form-data有效，且必须先调用r.ParseForm()（它会自动判断 Content-Type 并读取 Body） - 如果直接读
r.Body（比如 JSON），必须用io.ReadAll一次性读完，否则后续再读就是空；且不能同时既调ParseForm又读Body，会冲突 - 上传文件时，
r.MultipartReader()必须在ParseMultipartForm之后调用，否则返回 nil
典型安全写法：
func createUser(w http.ResponseWriter, r *http.Request) {
if r.Method != "POST" {
http.Error(w, "Method not allowed", 405)
return
}
// 是表单？先 ParseForm
if err := r.ParseForm(); err != nil {
http.Error(w, "Bad request", 400)
return
}
name := r.FormValue("name")
// 是 JSON？手动读 Body，跳过 ParseForm
// body, _ := io.ReadAll(r.Body)
// json.Unmarshal(body, &user)
}
本地开发时用 http.FileServer 提供静态资源要小心路径穿越
直接把当前目录暴露给 FileServer 是危险的，../../../etc/passwd 这类路径可能被解析成功：
- 永远不要用
http.Dir(".")或http.Dir("/path")直接传入，应先用filepath.Abs获取绝对路径，再用filepath.Join限定子目录 - 推荐做法：新建
./static目录，只暴露该目录下的文件，并用http.StripPrefix清除 URL 前缀 -
浏览器访问
/static/logo.png时，实际从磁盘./static/logo.png读取，不会向上越界
fs := http.FileServer(http.Dir("./static"))
http.Handle("/static/", http.StripPrefix("/static/", fs))
真正麻烦的从来不是“怎么写第一行 handler”，而是请求生命周期里那些隐式依赖：Body 是否已读、URL 是否已标准化、状态码是否提前写入、panic 是否被 recover。Go 不替你做决定，所以每个分支都得亲手封住出口。
