-
sync/atomic.Value仅支持可复制类型，存指针/map/slice等会导致未定义行为；必须类型一致、避免并发修改共享内存；Load返回副本，修改不影响原值；适用于读多写少的全量替换场景。
-
指针在Go语言中可以作为map的键，但其比较基于地址而非值。1.指针类型是可比较的，只要它们指向的地址不同，即使值相同也会被视为不同的键；2.若需根据内容判断，应使用结构体本身或提取字段组合成键；3.nil指针可作为键，所有nil指针会被视为相同键。使用时需注意隐晦问题，避免误用导致逻辑错误。
-
使用http.FileServer提供静态文件服务时，必须显式指定安全根目录（如http.Dir("/path/to/uploads")），禁用路径遍历，并通过中间件校验URL路径；文件上传需另写POSThandler，调用r.ParseMultipartForm解析multipart/form-data。
-
http.Get仅适合本地调试，因无超时、不处理重定向、不复用连接；生产环境须自建*http.Client并设Timeout与Transport，且resp.Body必须defer关闭，POSTJSON应使用bytes.NewBuffer避免重复序列化，client需全局复用以复用连接池。
-
交叉编译必须同时指定GOOS和GOARCH且关闭CGO_ENABLED=0，否则易链接失败或生成不可部署二进制；仅设其一将默认当前平台，导致伪交叉编译；纯Go程序需禁用cgo，含import"C"的代码（含依赖）会强制启用cgo并引发冲突。
-
直接用colly.NewCollector()会漏抓页面，因其默认不启用重试、不处理重定向、不设User-Agent，遇302/403即放弃；真实网站多校验UA，无设置易被nginx拦截。
-
Go不支持真正的全局常量，但可通过点导入或统一错误包等方式实现跨包访问；然而直接省略包名会损害可读性与可维护性，推荐使用语义化错误类型或带前缀的常量导出。
-
核心是“要不要”而非“能不能”：标准库encoding/json已足够健壮，自写反射序列化仅适用于需绕过标签规则、序列化私有字段、注入元信息或对接非标协议等特定场景。
-
应使用prometheus.NewCounter定义请求总数和错误总数指标，提前注册带ConstLabels的Counter并在handler中调用Inc()，不可用全局变量或Set()；需按维度打标签时改用NewCounterVec。
-
Go不支持直接类型断言或强制转换字符串切片为interface{}切片，必须逐项遍历并显式装箱（boxing）每个元素，才能正确传递给接受...interface{}的函数。
-
Go适合云原生开发因其运行时行为、构建产物和并发模型天然适配容器化场景：goroutine内存占用低、调度不依赖OS线程、静态二进制轻量安全，且能自动适配cgroup限制。
-
Go命令提示“commandnotfound”是因PATH未包含Go安装路径的bin目录，需确认安装路径存在go可执行文件，并将对应bin目录加入PATH后重载配置。
-
应直接使用github.com/pquerna/otp而非自行实现TOTP，因其避免时间窗口偏移、base32编解码不一致、HMAC-SHA1截断错误以及时区问题，且维护活跃、测试充分、支持热重载与自定义步长。
-
为什么html/template默认不防所有XSS？它只对特定上下文做自动转义，不是万能盾牌。比如你在href或onclick里插数据，它不会帮你判断JS语法是否安全，而是按HTML属性规则转义——结果可能仍是可执行的JS。常见错误现象：template:"xxx":123:unexpected"javascript:void(0)"inattribute这类报错其实不是模板出错，是你硬塞了非法值；更危险的是没报错但渲染出了。使用场景：所有动态插入用户输入的地
-
答案：使用Go的net包实现端口扫描，通过DialTimeout检测连接，结合goroutine并发扫描多端口。示例代码包含scanPort检测单个端口，portScan并发扫描并输出开放端口，完整程序可扫描scanme.nmap.org的指定端口并统计耗时。
