gin.default()不能直接用于生产，因其默认启用debugmode并加载logger和recovery中间件，导致高并发下性能下降、panic堆栈泄露敏感信息、404页面暴露路由树及内部结构，且部分中间件逻辑依赖mode判断。
gin.Default() 是最简启动方式，但上线前必须加 gin.SetMode(gin.ReleaseMode)，否则调试信息会直接暴露给生产用户。
为什么不能跳过 gin.SetMode(gin.ReleaseMode)
开发时 gin.Default() 自动启用 DebugMode：打印完整 panic 栈、自动重载（需额外装 air）、返回 X-Content-Type-Options 等敏感 header。这些在生产环境全是风险点。
- 漏设 ReleaseMode → 404 页面会显示文件路径、路由树、中间件链，等于把项目结构摊开给攻击者
-
gin.Logger()和gin.Recovery()在 DebugMode 下输出更详细，可能含用户输入或内部状态 - 某些中间件（如自定义 auth）依赖 mode 判断是否跳过校验，mode 错误会导致逻辑错乱
c.ShouldBindJSON() 必须检查 error，否则大概率 panic
很多人写成 c.ShouldBindJSON(&v) 后直接用 v，但一旦 JSON 字段类型不匹配、字段缺失（且没加 binding:"required"），v 就是零值，后续访问可能 panic，或者静默返回错误数据。
- 结构体字段必须首字母大写（导出），否则
json.Unmarshal无法赋值 - 推荐显式写 tag：
Name string `json:"name" binding:"required"` - 务必用 if err := c.ShouldBindJSON(&v); err != nil { c.AbortWithStatusJSON(400, gin.H{"error": err.Error()}); return }
静态文件和模板的路径陷阱
r.Static("/static", "./static") 看似只服务当前目录，实际支持子目录匹配（如 /static/css/main.css），但开发者常误以为要手动注册多级路径；真正容易翻车的是模板加载。
-
r.LoadHTMLGlob("templates/**/*")才能加载templates/user/index.html，只写"templates/*"会漏掉子目录 -
{{template "header.html" .}}中的"header.html"路径是相对于 glob 根目录（即templates/），不是相对于当前文件 - 生产环境建议用
r.StaticFS("/assets", http.Dir("./assets"))替代Static，它更明确、可组合中间件
路由分组和中间件绑定别硬编码路径前缀
比如想给 API 加 /api/v1 前缀，别在每个 r.GET("/api/v1/users", ...) 里重复写，而要用分组：
-
v1 := r.Group("/api/v1")，然后v1.GET("/users", handler) - 中间件应绑定到分组而非全局：
v1.Use(authMiddleware)，避免影响健康检查等公开接口 - 分组嵌套也合法：
admin := v1.Group("/admin"); admin.Use(adminOnly)
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
