go服务默认暴露的/debug/pprof是标准库内置的性能分析端点，路径固定为/debug/pprof/及其子路径，go 1.16+会自动注册，需主动屏蔽或编译期移除。
Go 服务默认暴露的 /debug/pprof 是什么
它不是“调试接口”这个宽泛概念，而是 Go 标准库内置的一组性能分析端点，路径固定为 /debug/pprof/ 及其子路径（如 /debug/pprof/goroutine、/debug/pprof/heap）。只要你的服务用了 http.DefaultServeMux 或显式注册了 pprof 路由，它就存在——和你是否加了 log.Println("debug mode") 无关。
不注册 pprof 就安全？错，net/http 默认仍挂载
很多人以为没写 pprof.Index 就没事，但 Go 1.16+ 的 http.ServeMux 在首次调用 http.HandleFunc 前，会自动把 /debug/pprof/ 挂到 http.DefaultServeMux 上。哪怕你只写了 http.HandleFunc("/health", handler)，/debug/pprof/ 也已悄然就位。
- 验证方式：启动服务后直接
curl http://localhost:8080/debug/pprof/，返回 HTML 列表即表示已暴露 - 根本原因：标准库内部触发了
pprof.RegisterHandlers()，你没调它，它自己调了 - 最简屏蔽法：在
main()开头加一行http.DefaultServeMux.Handle("/debug/", http.NotFoundHandler())
自定义 ServeMux 时仍要手动清理
用 mux := http.NewServeMux() 替代默认 mux 是好习惯，但它不会自动继承或排除 pprof —— 它只是个空路由表。问题在于：你很可能在某处（比如第三方中间件、监控 SDK、甚至 test 文件）悄悄执行了 pprof.Handler() 或 pprof.Index()，并注册到了 http.DefaultServeMux，而你的 mux 完全不知情。
- 检查所有
go.mod依赖，搜索关键词pprof、debug、expvar - 全局 grep 项目：
grep -r "pprof\|expvar" ./ --include="*.go" - 若发现第三方包注册了 pprof，且无法禁用，就用
http.StripPrefix+http.NotFoundHandler()在入口层拦截：mux.Handle("/debug/", http.NotFoundHandler())
编译期彻底移除 pprof 代码
运行时屏蔽治标，编译期移除才治本。Go 提供构建标签机制，可让 pprof 相关代码完全不出现在二进制里。
- 新建文件
pprof_off.go，内容仅含：// +build !pprof和空包声明 - 所有含
import _ "net/http/pprof"的文件，加上// +build pprof标签 - 构建命令改为：
go build -tags pprof（启用）或go build -tags ""（禁用，默认不包含） - CI/CD 中强制使用
go build -tags ""，确保生产镜像无任何 pprof 符号
注意：expvar 同理，它默认监听 /debug/vars，需同样处理；且 pprof 和 expvar 都可能被其他包隐式引入，光删自己代码不够。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
