go无法直接编写envoy/kong原生插件，因envoy官方不支持go运行时过滤器，kong仅支持lua插件；所谓go插件实为独立http服务调用，存在延迟、超时及容错问题；真正可控方案是基于net/http+httputil.newsinglehostreverseproxy自建轻量网关，支持热更新与调试。
Go 网关不能直接写 Envoy/Kong 插件
想用 Go 写一个“热加载、零重启”的 Envoy 或 Kong 插件？这条路走不通。Envoy 是 C++ 实现，官方不支持 Go 编写的运行时过滤器；Kong 的插件机制只认 Lua，所谓 Go 插件其实是独立 HTTP 服务，靠 http://localhost:8081/auth 这类调用串起来——不是插件，是远程 RPC。
常见错误现象：undefined symbol: _GoStringPtr（WASM 编译错）、WASM runtime initialization failed（TinyGo 版本不匹配或用了 net/http）、Kong 日志里反复出现 502 Bad Gateway（Go 服务没起来或超时未配）。
- Envoy 的
go-control-plane只生成 xDS 配置，不是插件 SDK - WASM 方式必须用
TinyGo编译，标准 Go 运行时（goroutine、GC、time.Now()）多数不可用 - Kong 调 Go 服务时，默认
config.timeout是 60s，但鉴权类场景要求 ≤50ms，必须显式覆盖 - Go 服务挂了，Kong 默认返回
500，没法 fallback 到本地缓存或默认策略，得自己加断路器逻辑
真正可控的 Go 网关：从 net/http + httputil.NewSingleHostReverseProxy 起手
如果你要的是“能 debug、能单元测试、能嵌入 CI/CD、配置可热更”，别绕路，直接基于 Go 标准库搭。它不替代 Envoy 的 L7 流量治理能力，但对路由、Header 注入、JWT 解析、灰度分流等核心需求足够轻快稳定。
关键点不在框架选型，而在结构设计：
- 用
sync.Map存储动态路由表，配合fsnotify监听 ConfigMap 文件变更，实现热更新 -
httputil.NewSingleHostReverseProxy必须复用http.Transport，禁用IdleConnTimeout和MaxIdleConnsPerHost默认值，否则高并发下连接池耗尽 - 中间件链建议用函数组合（
func(http.Handler) http.Handler），避免 Gin/Echo 的反射开销；JWT 验证这类逻辑放RoundTrip前，别塞在 handler 里 - 健康检查端点（
/healthz）务必单独起一个http.Server，监听不同端口（如:8081），且用http.TimeoutHandler包裹，超时设为 800ms
热插拔的本质是进程内模块隔离 + 动态加载
Go 本身不支持 DLL 式热加载，但可通过 plugin 包（仅 Linux/macOS 支持）或接口抽象 + reflect 实现有限热插拔。生产环境更推荐“进程外插件”模式：每个插件作为独立子进程，主网关通过 Unix Domain Socket 通信，用 Protobuf 序列化协议，失败时降级为 noop。
示例结构：
type Plugin interface {
Name() string
Init(config map[string]interface{}) error
Process(*http.Request, *httputil.ProxyRequestInfo) error
}
// 插件二进制文件放在 ./plugins/auth.so，启动时 dlopen 加载
-
plugin.Open()只支持.so文件，Windows 下不可用；交叉编译需严格匹配 GOOS/GOARCH - 插件里不能引用主程序的包（如
github.com/yourorg/gateway/middleware），否则symbol lookup error - 若用子进程模式，必须处理 SIGCHLD，防止僵尸进程；子进程 stdout/stderr 建议重定向到主进程日志文件
- 插件配置建议用 YAML 片段注入，而非全局环境变量，避免命名冲突
云原生部署必须考虑的三件事
K8s 里跑 Go 网关，光编译对了还不够。容易被忽略的是生命周期适配、配置来源和可观测性落点。
- SIGTERM 处理必须用
context.WithCancel控制主循环，调用http.Server.Shutdown()时设 10s 超时，返回值要判断是否为context.DeadlineExceeded - viper 读配置时，
viper.AutomaticEnv()会把所有 key 转大写+下划线，比如jwt.secret→JWT_SECRET，但实际环境变量可能是JWT_SECRET_KEY，应改用viper.BindEnv("jwt.secret", "JWT_SECRET_KEY") - 暴露
/metrics端点时，别直接用promhttp.Handler()，要注册到独立http.ServeMux并限流（每秒最多 10 次请求），防 scrape 风暴打垮网关 - 日志必须结构化（JSON），字段含
request_id、upstream_addr、duration_ms，且log.SetFlags(0)关闭时间戳前缀——K8s 日志采集器自己加
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
