最常用方式是c.Request().Header.Get()读取单个请求头值，注意大小写不敏感；需全部值时用Values()；Host可伪造而RemoteAddr含端口；UserAgent需截断和清理；自定义头名自动标准化，推荐驼峰形式访问。
echo.Context.Header.Get 读取单个请求头值
直接用 c.Request().Header.Get("X-Forwarded-For") 或 c.Request().Header.Get("Authorization") 是最常用方式，但要注意大小写不敏感——HTTP规范允许头名大小写混用，Go标准库内部做了规范化（如 "content-type" 和 "Content-Type" 都能取到值）。
常见错误是误用 c.Request().Header["X-Real-IP"] 直接取 map 值：这返回的是 []string，不是字符串，容易 panic 或漏掉第一个以外的值。必须用 .Get() 方法。
如果头存在多个同名字段（比如重复的 X-Forwarded-For），.Get() 只返回第一个；需要全部值时改用 c.Request().Header.Values("X-Forwarded-For")。
echo.Context.Request().Host 与 RemoteAddr 区别
c.Request().Host 是请求行里的 Host 字段（如 api.example.com:8080），由客户端发送，可被伪造；c.Request().RemoteAddr 是 TCP 连接的真实远端地址（如 192.168.1.100:54321），不可伪造但含端口，需手动切分。
生产环境想获取真实客户端 IP，不能只信 Host 或 RemoteAddr：
- 若服务前有 Nginx / Traefik，应优先看
X-Forwarded-For（注意它可能是逗号分隔的链式 IP，取第一个或最后一个取决于代理配置） - 若启用了
X-Real-IP，且代理保证只设一次，可直接用c.Request().Header.Get("X-Real-IP") - 永远校验 IP 格式：
net.ParseIP(val)，避免空字符串或恶意构造值进入日志或限流逻辑
echo.Context.Request().UserAgent() 的安全陷阱
c.Request().UserAgent() 返回 string，看似简单，但它是从 User-Agent 请求头原样拷贝而来，长度不受控、内容不可信。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
实际使用中容易踩坑：
- 存入数据库前没截断，导致字段超长报错（尤其 PostgreSQL 默认
varchar(255)） - 直接拼进日志语句，被注入换行符或控制字符，污染日志文件
- 用于设备识别时，未做 normalize（比如合并空格、转小写），导致同一浏览器被当成多个 UA
建议统一包装一层：
func safeUA(c echo.Context) string {
ua := c.Request().UserAgent()
if len(ua) > 255 {
ua = ua[:255]
}
return strings.TrimSpace(strings.ReplaceAll(ua, "\n", " "))
}
读取自定义 Header 时的 Go HTTP 头名转换规则
Go 的 http.Header 会把原始 Header 名自动标准化：所有字母转小写，连字符后首字母大写（即 “canonical MIME header key” 规则）。所以 X-Request-ID 存为 X-Request-Id，X-API-Key 存为 X-Api-Key。
这意味着你用 c.Request().Header.Get("x-request-id")、c.Request().Header.Get("X-Request-ID")、c.Request().Header.Get("X-Request-Id") 全都能取到值——但写代码时应统一用驼峰形式（X-Request-Id），这是 Go 官方推荐写法，也和 Echo 文档示例一致。
唯一例外是 Content-Type、Content-Length 等标准头，它们有专用字段（c.Request().ContentType()、c.Request().ContentLength），优先用这些方法，性能略高且语义清晰。
