pprof 绝对不能暴露在公网或主业务端口上，因导入 net/http/pprof 会触发 init() 自动向 defaultservemux 注册全部 /debug/pprof/ 接口且无鉴权；生产环境必须隔离至内网专用端口（如 127.0.0.1:6060）、加基础认证、禁用公网访问。
pprof 绝对不能暴露在公网或主业务端口上，导入 net/http/pprof 就等于默认注册全部调试接口，且无任何鉴权 —— 生产环境必须拆端口、限地址、加基础认证。
为什么 import _ "net/http/pprof" 就会出事
这个空白导入会触发包的 init() 函数，自动向 http.DefaultServeMux 注册所有 /debug/pprof/ 路由。你没写一行 handler，它就已经能响应 /debug/pprof/heap、/debug/pprof/profile?seconds=30 这些请求了。
常见误操作：
- 只删了 import，却忘了检查是否还有手动调用
pprof.Handler或pprof.ServeMux - 用了 Gin/Echo 等框架，但没显式挂载 pprof 路由，结果误以为“没开”
- 把 pprof 挂在主服务的
:8080上，再靠 Nginx 拦/debug/pprof—— 失败，因为 pprof 不走中间件，直接命中 Go 的 mux
如何安全启动 pprof 服务（推荐做法）
启动一个独立的 http.Server，绑定到仅内网可达的地址，不复用主业务 mux。
示例代码片段：
go
pprofMux := http.NewServeMux()
pprofMux.HandleFunc("/debug/pprof/", http.HandlerFunc(pprof.Index))
pprofMux.HandleFunc("/debug/pprof/profile", http.HandlerFunc(pprof.Profile))
// 其他 handler 可按需显式添加，避免全量暴露
go func() {
log.Println(http.ListenAndServe("127.0.0.1:6060", pprofMux))
}()
关键点：
- 监听地址必须是
127.0.0.1:6060或运维专用子网（如10.100.0.5:6060），禁用0.0.0.0:6060 - 宿主机防火墙、K8s
NetworkPolicy、云厂商安全组必须禁止外部访问该端口 - 若需远程访问，用 SSH 端口转发：
ssh -L 6060:localhost:6060 user@prod-server，本地访问http://localhost:6060/debug/pprof/
基础认证怎么加才靠谱
别依赖 cookie/session，也别从配置文件读密码 —— 密码应硬编码在二进制里，用最小化中间件封装。
示例中间件：
go
func basicAuth(handler http.Handler) http.Handler {
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
user, pass, ok := r.BasicAuth()
if !ok || user != "admin" || pass != "hardcoded-secret-2026" {
w.Header().Set("WWW-Authenticate", `Basic realm="pprof"`)
http.Error(w, "Unauthorized", http.StatusUnauthorized)
return
}
handler.ServeHTTP(w, r)
})
}
// 使用：
log.Println(http.ListenAndServe("127.0.0.1:6060", basicAuth(pprofMux)))
注意：
- 不要用
http.StripPrefix后再套 Basic Auth —— 它只处理路径前缀，不防绕过 - 密码硬编码比从 env 或 config 加载更可控，避免因配置泄露扩大风险
- Go 1.21+ 默认启用 HTTP/2，某些 TLS 配置下可能静默拒绝 HTTP/1.1 请求，测试时用
curl -v http://127.0.0.1:6060/debug/pprof/确认状态码为 200
采样控制和 profile 类型陷阱
不是所有 profile 都适合常开，有些开启后性能开销明显，有些数据容易误判。
必须关掉的（上线前确认）：
-
runtime.SetBlockProfileRate(0)：阻塞分析默认累积，锁竞争高时拖慢服务 -
runtime.SetMutexProfileFraction(0)：互斥锁采样同理，非排查期应关闭 -
heapprofile 不要长期开启 —— 每次 GC 都 dump，内存紧张时雪上加霜；需时再触发runtime.GC()+?gc=1&debug=1
抓取时注意参数：
-
/debug/pprof/goroutine?debug=2显示完整栈，比debug=1更易定位 channel 泄露 -
/debug/pprof/heap?debug=1看inuse_space列，不是alloc_space—— 后者是累计分配，掩盖真实泄露 -
go tool pprof不跟随重定向，也不支持 HTTPS 自动降级；若服务强制跳转 HTTPS，命令会卡住，必须显式用https://协议 +-insecure（仅限内网）
最易被忽略的一点：pprof 数据是瞬时快照，单次采集可能错过抖动峰值。线上问题优先用离线方式抓多时间点 profile，再对比分析 —— 而不是依赖 ?seconds=30 一次定论。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
