注册用bcrypt安全哈希密码并统一邮箱提示；登录用CompareHashAndPassword恒定时间比对且不区分错误类型；会话优先gorilla/sessions+Redis；SQL防注入用参数化查询，XSS防护需HTML清洗。

前端防重提交不能替代后端幂等校验，因仅防手抖，无法应对脚本调用、超时重试等真实重复场景；后端须用request_id+Redis原子操作或数据库唯一约束实现可靠幂等。

Gosort包不支持自动推断类型排序，需用sort.Ints/sort.Strings等专用函数排基础类型，或实现sort.Interface接口排自定义类型；所有排序原地进行、稳定、时间复杂度O(nlogn)。

真正的限流必须在入口做“允许/拒绝”决策且状态跨goroutine共享；推荐用golang.org/x/time/rate实现令牌桶中间件，按IP或APIKey差异化限流，并注意初始化、熔断和监控。

http.FileServer直接暴露根目录会导致路径遍历漏洞，如访问/..%2f/etc/passwd可读取系统文件；正确做法是限定真实子目录、配合StripPrefix，并优先使用embed内嵌资源。

PubNub服务返回的消息常为包含多层嵌套、类型不统一的JSON数组（如[[{...}],"msg-id","channel"]），Go原生结构体无法直接反序列化此类非同质数组，需自定义UnmarshalJSON方法实现灵活解析。