不能用 net/http.handler 直接做多协议转换，因其强制消费请求体和修改头部，破坏grpc/websocket/mqtt等依赖原始字节流或连接生命周期的协议；必须分层处理：http层仅识别分流，绝不读body，再由专用codec接管连接。
为什么不能用 net/http.Handler 直接做多协议转换
因为 http.Handler 的契约只承诺处理 HTTP/1.1 流，它会提前读取、缓冲甚至修改 r.Body 和 r.Header，而 gRPC、WebSocket、MQTT 等协议依赖原始字节流、连接生命周期或特定帧头（如 Upgrade: websocket、gRPC 的二进制前缀）。一旦你调用 r.ParseForm() 或 io.ReadAll(r.Body)，后续协议解析器就收不到完整帧，直接报错或静默失败。
- gRPC 客户端常见错误：
rpc error: code = Internal desc = transport: received the unexpected content-type "text/plain" - WebSocket 连接反复 400 或立即关闭——
http.ServeMux已把Connection: upgrade头丢弃或改写 - MQTT over WebSocket 封装时，二进制 payload 被当成 UTF-8 解码，出现
invalid UTF-8panic
必须分层：HTTP 入口只做识别与分发，不碰 Body
真正的协议转换不能塞进 http.HandlerFunc 里做“解析+转发”，而要拆成两层：上层用 http.Server 统一监听 TLS/HTTP/2，下层用独立的 net.Listener + codec 实例接管连接。关键动作是“早识别、快分流、零消费”。
- 只检查
r.Method、r.URL.Path、r.Header.Get("Content-Type")、r.Header.Get("Upgrade")—— **绝不调用r.Body.Read()** - 对疑似 gRPC/gRPC-Web 请求，用
io.MultiReader+bytes.NewReader(cache)缓存前 1024 字节，供下游grpc.Server.ServeConn()重放 - 对
Upgrade: websocket，立刻hijack：hj, ok := w.(http.Hijacker)，拿到conn后交由websocket.Upgrader.Upgrade()处理，彻底脱离 HTTP 生命周期 - 非标准路径（如
/mqtt、/coap）不走http.ServeMux，直接用http.HandlerFunc拦截并启动专用协程监听
如何让 gRPC 和 WebSocket 共存且不互相劫持
单端口下，HTTP/2 帧和 WebSocket Upgrade 请求在 TLS 握手后共享同一连接，容易误判。ALPN 协商虽能区分 h2 和 http/1.1，但无法可靠区分 gRPC（本质是 h2）和 WebSocket（本质是 h1 + upgrade）。物理隔离仍是首选。
- 生产环境建议：gRPC 走
:9000（启用http2.ConfigureServer），WebSocket 走:9001（仅启用 h1 + hijack），前端按协议选端口 - 若必须单端口，靠路径前缀硬隔离：
/grpc/→ 分发给 gRPC codec；/ws/→ 立即 hijack；其余走 HTTP 反向代理 - 禁用所有中间件对
/grpc/和/ws/路径的 body 解析逻辑（包括日志、JWT 验证中间件），否则r.Body被提前读空 - gRPC 后端不要自己
grpc.NewServer().Serve(lis)，而是复用已建立的net.Conn：grpc.ServeConn(conn, opts...)
分布式能力不能靠 gin/mux，得靠服务发现+动态路由表
gin 或 gorilla/mux 只提供静态路由匹配，无法感知后端节点上下线、协议变更或负载权重。网关的“分布式”体现在路由决策实时拉取、限流规则跨节点同步、鉴权白名单全局一致。
- 注册中心用 etcd 或 consul：每个后端服务注册时带元数据
{"protocol": "grpc", "addr": "10.0.1.5:9000", "timeout_ms": 3000} - 网关启动时 Watch
/services/节点变更，缓存在内存sync.Map中，避免每次转发都查 etcd - 路由匹配后，根据目标服务的
protocol字段决定走哪条链路：HTTP →httputil.ReverseProxy；gRPC → 构造grpc.Dial并透传缓存的前缀字节；WebSocket → 直接net.Dial到后端 ws 地址 - JWT 鉴权必须查白名单缓存（非仅验 signature），且
user_id、roles要注入context.Context，再通过X-User-ID等 header 透传，不能只存局部变量
if 分支，而是确保所有协议分支都绕过 HTTP 中间件的 body 消费陷阱，并让连接生命周期管理完全脱离 http.Server 的控制范围。任何试图“统一抽象成 HTTP 流”的做法，都会在 gRPC streaming 或 WebSocket ping/pong 时崩掉。
