直接用 httputil.newsinglehostreverseproxy 即可安全实现流量转发，它自动处理 host、x-forwarded-*、connection 等关键头及连接复用；须通过 director 显式设置 req.url.scheme、req.url.host 和 req.host，并清空 req.url.rawpath，配置自定义 transport 防超时与连接耗尽。
直接用 httputil.NewSingleHostReverseProxy 就能跑通，别自己拼 http.Request 或调 http.DefaultClient.Do ——90% 的 502/400 错误都源于绕过它。
为什么 http.DefaultClient.Do 转发请求会崩
常见错误是写个 Handler，拿到 *http.Request 后直接丢给 http.DefaultClient.Do。结果 Host 头错、Body 读两次 panic、TLS 握手失败、查询参数丢失。
-
http.Request是服务端解析后的结构体，不是可重放的字节流；Do会忽略req.URL.Host，强制重设 Host 头 -
req.RemoteAddr不会被透传，后端拿不到真实客户端 IP - 连接不复用，高并发下迅速触发
dial tcp: lookup xxx: no such host或too many open files - HTTP/2 语义、100-continue、分块传输等全被破坏
Director 必须改哪三个字段
proxy.Director 是唯一安全修改请求的地方。漏改或错改会导致后端收不到 Host、路径 404、HTTPS 协议降级。
-
req.URL.Scheme = backendURL.Scheme：否则默认沿用客户端请求协议（比如客户端用 https 访问代理，但后端只支持 http） -
req.URL.Host = backendURL.Host：否则 Host 头仍是客户端域名，后端 vhost 匹配失败 -
req.Host = backendURL.Host：HTTP/1.1 强制要求，req.URL.Host不会自动同步到该字段 - 顺手清掉
req.URL.RawPath：改了Path但没清RawPath，Go 会优先用后者，导致 URL 编码错乱
Transport 不配超时和连接池就等着 504
默认的 http.DefaultTransport 对反向代理极不友好：没有超时、空闲连接永不释放、TLS 握手无上限。线上压测几分钟就挂。
- 必须新建
http.Transport并赋给proxy.Transport -
IdleConnTimeout: 30 * time.Second：防连接堆积 -
MaxIdleConns: 100和MaxIdleConnsPerHost: 100：防 fd 耗尽 - TLS 场景下加
TLSClientConfig: &tls.Config{InsecureSkipVerify: true}（仅测试用，生产务必校验证书）
最易被忽略的是 req.URL.RawPath 和 req.Host 的同步问题——它们不自动联动，出问题时现象是后端返回 404 或 400 且日志里看不出头绪。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
