go http服务panic致进程退出的根本原因是server不捕获handler内panic，导致goroutine崩溃、listenandserve异常返回；需用panichandler包装器统一recover并记录堆栈，配合errorlog和shutdown避免资源泄漏。
Go HTTP服务中panic导致进程退出的根本原因
Go 的 http.Server 默认不捕获 handler 函数里抛出的 panic，一旦发生，goroutine 崩溃，错误被写入日志（如果配置了 ErrorLog），但主进程不会自动恢复——更关键的是，ListenAndServe 会直接返回 http.ErrServerClosed 或其他错误，而真正的 panic 被吞掉，你只看到服务“静默退出”或 CPU 归零。
这不是 bug，是 Go 的设计：panic 是程序异常状态，不鼓励在业务层靠 recover 兜底。但 HTTP 服务必须稳，所以得主动拦截。
用 http.Server.RegisterOnShutdown + recover 实现安全兜底
别在 handler 里每个地方都加 defer recover()——太散、易漏、且无法覆盖中间件或路由匹配阶段的 panic。正确做法是在服务器启动前，给 http.Server 注册一个全局 panic 捕获钩子，配合自定义 http.Handler 包装器。
- 核心思路：用
http.HandlerFunc包一层，统一 recover，记录堆栈，并返回 500 - 务必设置
http.Server.ErrorLog，否则 recover 后的 panic 信息会丢失 - 不要在 recover 后调用
os.Exit()或重起 server——这会导致连接中断、负载突增 - 注意：recover 只对当前 goroutine 有效，HTTP handler 天然是独立 goroutine，所以能捕获
func panicHandler(h http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
defer func() {
if err := recover(); err != nil {
log.Printf("PANIC in %s %s: %+v\n", r.Method, r.URL.Path, err)
http.Error(w, "Internal Server Error", http.StatusInternalServerError)
}
}()
h.ServeHTTP(w, r)
})
}
srv := &http.Server{
Address: ":8080",
Handler: panicHandler(mux),
ErrorLog: log.New(os.Stderr, "HTTP: ", log.LstdFlags),
}
为什么不能只依赖 signal.Notify + os.Exit？
有人想监听 SIGQUIT 或 SIGABRT 来做兜底，这是错的。这些信号不是 panic 触发的，而是操作系统或调试器发的；Go 的 panic 不发信号，它只是 goroutine 内部崩溃。等你收到信号时，panic 已经发生过了，甚至可能已导致内存损坏或数据不一致。
立即学习“go语言免费学习笔记（深入）”；
-
signal.Notify对 panic 完全无效，属于典型误用 - 某些监控工具（如 systemd）会把进程退出码非 0 当成 crash，但 Go panic 导致的退出码是 2，不是信号退出的 128 + N
- 真正要防的是 panic 后连接未关闭、资源泄漏——这得靠
Server.Shutdown()配合 context，而不是信号
recover 后的响应体和 Header 状态容易踩的坑
recover 后调用 http.Error() 看似简单，但有三个隐性问题：
- 如果 panic 发生在
WriteHeader()之后（比如写 body 时），再调用http.Error()会 panic：“http: multiple response.WriteHeader calls” - response body 可能已被部分写出，客户端收到截断响应，但 HTTP 状态码仍是 200
- 中间件（如 gzip、cors）可能已修改 header，recover 时 header 已不可逆
稳妥做法：用 w.Header().Set("Connection", "close") 强制断连，并避免任何额外 write；或者用 http.Hijacker 切换到原始 conn 关闭连接（仅限需要极致控制的场景）。
最现实的底线：确保 recover 日志带完整 stack trace（用 debug.PrintStack() 或 runtime/debug.Stack()），否则你永远不知道 panic 发生在哪一行。
