直接用 http.ServeHTTP 转发请求会出错，因后端需已解析且上下文完整的请求，而代理中原始请求的 Host、Path、Hop-by-Hop Header 未清理，导致 404 或空响应；正确做法是构造新 *http.Request，重写 URL/Host、过滤 Connection 等头，并按需配置 TLS。
为什么直接用 http.ServeHTTP 转发请求会出错？
常见错误是把客户端 *http.Request 直接传给后端服务的 http.ServeHTTP，结果返回 404 或空响应。这是因为 http.ServeHTTP 期望处理的是「已解析的、带完整上下文的入站请求」，而代理中拿到的请求可能 Host、URL.Path、Header（如 Connection、Transfer-Encoding）未清理，导致后端无法识别或拒绝处理。
正确做法是构造一个新的 *http.Request，显式设置 URL、Host 和关键 Header，并禁用某些代理不应当透传的字段：
-
req.URL.Scheme和req.URL.Host必须重写为后端地址（如"http://127.0.0.1:8080"） - 手动设置
req.Host = "backend.example.com"，否则后端可能收不到 Host 头 - 删除
Connection、Keep-Alive、Proxy-Authenticate等 hop-by-hop 头（Go 不自动处理，需手动过滤） - 若后端是 HTTPS，需用
http.Transport配置 TLS，不能只改 URL Scheme
如何支持 CONNECT 方法实现 HTTPS 代理？
浏览器访问 HTTPS 站点前会先发 CONNECT google.com:443 请求，此时服务器不能返回 HTTP 响应体，而要升级为隧道——即建立 TCP 层直连，并将客户端与后端连接双向拷贝数据。
关键点不在 HTTP 处理逻辑里，而在 http.HandlerFunc 中判断方法并接管连接：
- 检测
req.Method == "CONNECT"，立即返回http.StatusOK响应头"200 Connection established" - 调用
hijack := w.(http.Hijacker).Hijack()获取底层net.Conn - 用
net.Dial("tcp", req.Host)连后端，然后启动两个io.Copy协程双向转发原始字节流 - 注意：必须关闭超时控制（
conn.SetDeadline(time.Time{})），否则io.Copy可能被中断
漏掉 Hijacker 类型断言或未正确关闭任一连接，会导致连接泄漏或浏览器卡死。
