httputil.newsinglehostreverseproxy是最轻量稳妥的反向代理起点，需正确设置director、自定义transport并处理header、负载均衡与健康检查等细节。
用 httputil.NewSingleHostReverseProxy 快速启动反向代理
Go 标准库的 httputil.NewSingleHostReverseProxy 是最轻量、最稳妥的起点，它已经处理了请求转发、响应透传、Header 修正（比如 X-Forwarded-For）等基础逻辑。别自己从 http.RoundTripper 开始造轮子。
常见错误是直接把原始 *http.Request 原样转发——这会导致 Host 头没改、URL.Scheme 和 URL.Host 混乱，后端服务返回 404 或重定向错乱。
- 必须用
url.Parse("http://backend:8080")构造*url.URL，再传给NewSingleHostReverseProxy - 代理前要调用
req.URL.Scheme = "http"和req.URL.Host = proxy.Director 覆盖后的地址，但更推荐交给Director函数统一处理 - 如果后端是 HTTPS，
URL.Scheme必须设为"https"，否则RoundTrip会默认走 HTTP
proxy := httputil.NewSingleHostReverseProxy(u)
proxy.Director = func(req *http.Request) {
req.URL.Scheme = "http"
req.URL.Host = "10.0.1.100:8080"
req.Header.Set("X-Real-IP", realIP(req))
}实现简单轮询负载均衡：自己写 Director + 后端列表
标准 ReverseProxy 本身不带多后端调度能力，Director 就是你插入调度逻辑的唯一入口。轮询不是靠配置开关，而是靠你维护一个可变的索引或 channel。
容易踩的坑是并发安全：多个请求同时修改全局计数器导致雪崩式打到同一台机器。别用裸 int 变量加锁，优先用 atomic 或预生成轮询序列。
立即学习“go语言免费学习笔记（深入）”；
- 后端地址必须提前解析成
*url.URL，避免每次请求都调用url.Parse（开销大且可能 panic） - 在
Director中做健康检查判断？不行——这里要求低延迟，健康探测应异步运行并更新后端状态表 - 如果某台后端临时不可达，
RoundTrip会返回 error，你需要在外层Handler捕获并 fallback，Director本身不处理失败
var backends = []*url.URL{u1, u2, u3}
var cur uint64
proxy.Director = func(req *http.Request) {
i := atomic.AddUint64(&cur, 1) % uint64(len(backends))
u := backends[i]
req.URL.Scheme = u.Scheme
req.URL.Host = u.Host
req.URL.Path = u.Path // 注意：通常保留原始 Path，除非要做路径重写
}超时和连接复用：不设 Transport 就等于裸奔
默认的 http.DefaultTransport 用在代理场景下非常危险：它对后端连接没有限制，也没有合理超时，一次慢请求可能拖垮整个代理进程。
必须自定义 http.Transport 并赋给 ReverseProxy.Transport。重点不是“怎么配”，而是“不配会发生什么”：连接泄漏、TIME_WAIT 爆满、DNS 缓存不更新、TLS 握手卡死。
-
MaxIdleConnsPerHost建议设为 32～100，太小导致频繁建连，太大压垮后端 -
IdleConnTimeout设为 30s，避免长连接空耗资源；TLSHandshakeTimeout必须设（如 10s），否则 TLS 卡住永不返回 - 不要复用
http.DefaultClient，它的Transport是全局共享的，改一处影响所有 HTTP 调用
proxy.Transport = &http.Transport{
MaxIdleConnsPerHost: 64,
IdleConnTimeout: 30 * time.Second,
TLSHandshakeTimeout: 10 * time.Second,
// 别漏掉这个：防止 DNS 变更不生效
ForceAttemptHTTP2: true,
}真实部署时最容易被忽略的细节
本地跑通 ≠ 上线可用。Kubernetes Ingress、Nginx、甚至云厂商 LB 都可能在你之前就改了 Header 或拆包，导致你的 Director 逻辑失效。
比如你在 Director 里靠 req.Header.Get("X-Forwarded-For") 提取客户端 IP，但前面有两层 LB，实际该 Header 已被追加成逗号分隔列表——你直接取第一个就错了。
- 永远用
realIP := strings.TrimSpace(strings.Split(req.Header.Get("X-Forwarded-For"), ",")[0])，而不是直接Get - 日志里必须记录
req.RemoteAddr、X-Forwarded-For、最终转发的URL.Host，三者对不上就要查链路 - HTTP/2 支持需要两端都开启，如果你的后端不支持 h2，代理层强制
ForceAttemptHTTP2: true会导致连接失败
复杂点不在代码行数，而在你得清楚每一层网络设备在改什么、删什么、加什么 Header。调试时先关掉所有中间件，逐层加回来。
