recover不能跨goroutine捕获租户panic，必须在每个租户goroutine入口处注册defer；recover后应立即return，避免操作可能损坏的私有状态，并记录带租户上下文的结构化日志。

recover不能跨goroutine捕获租户panic

多租户系统里，每个租户请求通常跑在独立 goroutine 中。主线程或中间件里加一个 defer + recover() 对其他协程完全无效——recover() 只作用于当前 goroutine 的 panic。常见错误是只在 HTTP server 启动时注册一次全局 defer，结果租户 A 的 panic 仍会打印堆栈并终止该协程，但其他租户不受影响；而你以为“已兜住”，实际没生效。

必须在每个租户执行入口处注册defer

租户隔离的关键是：panic 发生在哪条协程，recover 就得注册在哪条协程。典型场景包括：

• HTTP handler 函数开头写 defer func() { if r := recover(); r != nil { log.Printf("tenant %s panic: %v", tenantID, r) } }()
• 后台 worker 启动时包一层： go func(tenantID string) { defer handleTenantPanic(tenantID); doWork(tenantID) }(id)
• 如果用了 context 传递租户信息，handleTenantPanic 应从 ctx.Value 提取租户标识，而非依赖闭包变量（可能被覆盖）

recover后别碰租户私有状态

租户 panic 往往伴随状态损坏：比如并发写入了共享 map、关闭了本不该关的 chan、或修改了未加锁的字段。此时 recover() 成功返回，但后续代码若继续操作这些资源，大概率二次 panic 或数据错乱。

安全做法是：

OC SSH Tunnel Node Recovery

诊断并恢复通过 SSH 隧道连接的 OpenClaw 节点。用于解决配对必需错误、隧道冲突、远程端点错误以及 SSH 目标配置错误等问题。

下载

• recover() 后立即 return，不执行任何业务逻辑
• 资源清理必须放在 defer 链中（如关闭文件、释放 DB 连接），而不是 recover 分支里
• 避免在 recover 块中调用 close(ch)、delete(m, k)、或访问刚 panic 的结构体字段

日志和监控要带租户上下文

单纯 log.Printf("%v", r) 无法定位问题租户。必须把租户 ID、请求 ID、时间戳打进去，否则线上查问题时全是无主 panic。

建议结构化记录：

• 用 zap.String("tenant_id", tenantID) 等字段标注来源
• 捕获完整堆栈：debug.Stack()，但注意它开销大，生产环境可采样开启
• panic 类型要判空再断言：switch r := r.(type) { case string: ... case error: ... default: ... }，避免 r.(error).Error() 再次 panic

最易忽略的是：recover 后没重置租户级限流器、缓存计数器或连接池引用，导致后续请求持续失败——这比 panic 本身更难排查。

golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！