-
GoWeb应用需分层防御XSS与CSRF：XSS防护靠输入校验+html/template自动转义+JSON响应头加固；CSRF防护依赖gorilla/csrf令牌机制+SameSiteCookie+安全响应头组合实施。
-
Go中用ticker实现周期性协程需防堆积、泄漏和竞态：Ticker仅发信号，任务需手动控制并发；可用信号量限流、atomic.Bool防重入；必须调用Stop()并结合context优雅退出。
-
装饰者模式通过接口和组合实现功能扩展，定义统一接口后，使用包装器在不修改原对象的情况下动态添加日志、缓存等行为，支持链式叠加多个装饰器，适用于中间件、监控、事务等场景，保持职责单一与类型一致。
-
Go语言不支持运行时动态创建新类型，但可用匿名结构体字面量（编译期）和reflect.StructOf（Go1.18+，运行时构造未命名结构体类型）实现类似效果；前者轻量易用，后者适用于ORM等动态场景，但不可类型断言、不可序列化。
-
Go应用自身不支持自动扩缩容，需依赖KubernetesHPA；必须实现readiness/liveness探针、优雅关闭（srv.Shutdown）、暴露Prometheus指标，并避免goroutine泄漏与阻塞。
