3. HTTP 网关核心原理

HTTP 网关是权限审计链路追踪的流量入口。理解其核心原理——反向代理、中间件链、请求上下文传递——是构建可靠网关的基础。本章从原理出发，对比主流 Go 网关框架的选型差异。

3.1 反向代理：网关的流量中转站

反向代理是网关最基础的职责：接收客户端请求，转发给后端服务，再将响应返回客户端。Go 标准库 net/http/httputil 提供了开箱即用的 ReverseProxy。

标准库 ReverseProxy 的核心用法：

package main

import (
    "net/http"
    "net/http/httputil"
    "net/url"
)

func main() {
    target, _ := url.Parse("http://localhost:8081")
    proxy := httputil.NewSingleHostReverseProxy(target)

    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        // 可在转发前修改请求头
        r.Header.Set("X-Forwarded-For", r.RemoteAddr)
        proxy.ServeHTTP(w, r)
    })

    http.ListenAndServe(":8080", nil)
}

3.2 中间件链：可插拔的请求处理管道

中间件是网关扩展能力的核心机制。每个中间件是一个函数，接收 http.Handler 并返回新的 http.Handler，形成链式调用。

Go 中典型的中间件链实现模式：

// 中间件类型定义
type Middleware func(http.Handler) http.Handler

// 链式组合
func Chain(handler http.Handler, middlewares ...Middleware) http.Handler {
    for i := len(middlewares) - 1; i >= 0; i-- {
        handler = middlewares[i](handler)
    }
    return handler
}

// 使用示例
handler := Chain(
    finalHandler,
    loggingMiddleware,
    authMiddleware,
    rateLimitMiddleware,
)

3.3 请求上下文传递：链路追踪的数据载体

在中间件链中传递请求级数据（用户身份、追踪 ID、审计日志）是网关的核心需求。Go 1.7+ 的 context.Context 是标准方案。

上下文传递的标准模式：

// 定义上下文键类型（避免冲突）
type contextKey string

const (
    TraceIDKey contextKey = "trace_id"
    UserIDKey  contextKey = "user_id"
)

// 中间件注入上下文
func TraceMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        traceID := r.Header.Get("X-Trace-ID")
        if traceID == "" {
            traceID = uuid.New().String() // 生成新 trace ID
        }
        ctx := context.WithValue(r.Context(), TraceIDKey, traceID)
        next.ServeHTTP(w, r.WithContext(ctx))
    })
}

// 处理器读取上下文
func handler(w http.ResponseWriter, r *http.Request) {
    traceID := r.Context().Value(TraceIDKey).(string)
    // 使用 traceID 记录日志、传递到上游
}

3.4 常见网关框架对比

Go 生态中有多个成熟的 HTTP 框架可用于构建网关。下表从核心维度对比 Gin、Chi 和标准库 ReverseProxy。

3.5 实战：用 Chi 构建最小权限审计网关骨架

Chi 框架天然支持标准 context.Context，与链路追踪库（如 OpenTelemetry）集成更自然。以下是一个包含鉴权、审计、反向代理的最小网关骨架：

package main

import (
    "context"
    "net/http"
    "net/http/httputil"
    "net/url"

    "github.com/go-chi/chi/v5"
    "github.com/go-chi/chi/v5/middleware"
)

// 自定义上下文键
type ctxKey string

const (
    UserKey ctxKey = "user"
    TraceKey ctxKey = "trace_id"
)

// 鉴权中间件
func AuthMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        token := r.Header.Get("Authorization")
        if token == "" {
            http.Error(w, "unauthorized", http.StatusUnauthorized)
            return
        }
        // 解析 token，获取用户信息
        user := parseToken(token)
        ctx := context.WithValue(r.Context(), UserKey, user)
        next.ServeHTTP(w, r.WithContext(ctx))
    })
}

// 审计中间件
func AuditMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        user := r.Context().Value(UserKey).(string)
        traceID := r.Context().Value(TraceKey).(string)
        // 记录审计日志：谁、什么时间、访问了什么资源
        logAudit(user, r.Method, r.URL.Path, traceID)
        next.ServeHTTP(w, r)
    })
}

func main() {
    r := chi.NewRouter()

    // 全局中间件
    r.Use(middleware.Logger)
    r.Use(middleware.Recoverer)
    r.Use(AuthMiddleware)
    r.Use(AuditMiddleware)

    // 反向代理到上游服务
    target, _ := url.Parse("http://localhost:8081")
    proxy := httputil.NewSingleHostReverseProxy(target)

    r.HandleFunc("/*", func(w http.ResponseWriter, r *http.Request) {
        // 传递 trace ID 到上游
        traceID := r.Context().Value(TraceKey).(string)
        r.Header.Set("X-Trace-ID", traceID)
        proxy.ServeHTTP(w, r)
    })

    http.ListenAndServe(":8080", r)
}