feat(posts): draft batch-06 (5 bilingual posts) and package consultant review pack

2026-10-27 20:34:54 +08:00
1 parent bef57cbabb
commit b2fdccf284
@@ -0,0 +1,163 @@
+---
+title: "Traefik 自定义插件启动崩溃：Yaegi 解释器的连字符与下划线陷阱"
+description: "为什么本地测试全部通过的 Go 插件在 Traefik 启动时报错 'CreateConfig failed with Yaegi'：深度排查 Yaegi 动态解释器对模块路径连字符转下划线的包命名隐蔽契约。"
+pubDate: 2026-10-27
+category: notes
+blueprint: self-hosted-infrastructure
+blueprintLayer: L2-edge-proxy-runtime
+tags: ["traefik", "go", "yaegi", "devops", "plugins", "debugging"]
+draft: true
+summary:
+  audience: "DevOps 工程师、SRE 与 Go 后端开发者"
+  painPoint: "新编写的 Traefik 边缘安全过滤插件在本地通过了全部单元测试，但在挂载至生产网关启动时触发 'CreateConfig failed with Yaegi' 致命错误导致容器起不来。"
+  impact:
+    - metric: "揭露动态加载规则"
+      detail: "查明 Traefik 内嵌的 Yaegi 动态解释器会自动将模块名末段的连字符转换为下划线，要求源码必须显式声明 package traefik_botfilter。"
+    - metric: "零停机平滑加载"
+      detail: "修正包命名声明与 plugins-local 目录层级，使得边缘反代无需重新编译二进制即可直接加载私有 Go 中间件。"
+    - metric: "沉淀标准化 SOP"
+      detail: "将本地开发到官方 Catalog 发布的打包流程固化，防止动态解释器包名冲突再次发生。"
+  stack: ["Traefik v3.x", "Go 1.20+", "Yaegi 解释器", "Docker", "Linux 边缘节点"]
+  jumpLinks:
+    business: "#交付结果"
+    architecture: "#yaegi-动态解释器的包名推断规则"
+    result: "#修复步骤与目录树对齐"
+dynamicCta: true
+---
+
+## 本地测试全绿，上云启动暴雷的 Go 插件
+
+在为私有化部署的公网服务构建边缘安全防护时，使用 Go 语言为 Traefik 编写自定义中间件插件是最轻量、性能最好的方案之一。它无需引入 Redis 或外部校验服务，所有扫描拦截与轻量级客户端评分逻辑均在反向代理进程内部原生运行。
+
+近期我编写了 `traefik-botfilter` 插件，用于检测异常的 HTTP 请求头、阻断常见的黑客扫描路径（如 `.env`、`wp-login.php`），并在内存中对高危 IP 进行平滑扣分与限时封禁。
+
+在本地开发环境中，测试用例表现非常完美：
+```bash
+go test -v ./...
+# PASS: TestBotFilter (0.04s)
+# PASS: TestCacheExpiration (0.12s)
+# ok  github.com/hoelee/traefik-botfilter 0.182s
+```
+
+然而，当我将代码挂载到 Traefik 的 `plugins-local` 目录并启动生产容器时，Traefik 却直接崩溃退出了：
+
+```text
+2026-10-23T04:47:12Z ERR Failed to create middleware error="failed to load plugin botfilter: CreateConfig failed with Yaegi: symbol not found" entryPointName=web routerName=app@file
+```
+
+---
+
+## Yaegi 动态解释器的包名推断规则
+
+Traefik 加载中间件插件的方式并不是像常见 Nginx 模块那样加载预先编译好的 `.so` 动态链接库。相反，Traefik 内部嵌入了 **Yaegi**——一个轻量级的 Go 语言动态解释器。在 Traefik 启动时，Yaegi 会在内存中直接对 Go 源码进行语法分析、符号解析与动态编译。
+
+在 Traefik 的静态配置文件中声明插件时：
+
+```yaml
+experimental:
+  localPlugins:
+    botfilter:
+      moduleName: github.com/hoelee/traefik-botfilter
+```
+
+Traefik 会要求 Yaegi 在插件包中寻找并导出符合中间件契约的两个标准函数入口：
+1. `CreateConfig() *Config`
+2. `New(ctx context.Context, next http.Handler, config *Config, name string) (http.Handler, error)`
+
+然而，这里隐藏了一个极其隐蔽的契约断层。
+
+在标准的 Go 语言开发中，如果一个仓库的名字带有连字符（如 `traefik-botfilter`），开发者通常会在源码文件首行采用惯用的简短包名（例如 `package botfilter`）。官方的 Go 编译器（`go build`）与测试框架（`go test`）完全允许这种写法，只要同目录下所有文件的 package 声明保持一致即可。
+
+**但是，Yaegi 并不会读取 `go.mod` 来推断你声明的包名。**
+
+Traefik 的插件加载器会硬编码地从 **`moduleName` 的最后一个路径段** 计算期望的包标识符，并且**自动将所有的连字符（`-`）强制替换为下划线（`_`）**：
+
+$$\text{模块路径}: \texttt{github.com/hoelee/traefik-botfilter} \longrightarrow \text{预期包名}: \texttt{traefik\_botfilter}$$
+
+而我当时的 Go 源码首行写的是：
+```go
+// botfilter.go
+package botfilter // <-- YAEGI 在这个命名空间下找不到导出的符号！
+```
+
+结果就是：Yaegi 去 AST 抽象语法树中检索 `traefik_botfilter.CreateConfig` 时，内存中只有 `botfilter.CreateConfig`。由于命名空间无法对齐，Yaegi 直接判定入口符号缺失，导致 Traefik 在启动阶段抛出致命异常并拒绝挂载网关端口。
+
+---
+
+## 修复步骤与目录树对齐
+
+要让 Yaegi 正常识别插件入口，需要完成两步对齐：
+
+### 1. 将所有 Go 源文件的 package 声明重命名
+把项目下所有的 `.go` 文件（包括单元测试）首行的包名统一改为连字符转下划线后的名称：
+
+```go
+// Package traefik_botfilter is a Traefik middleware plugin...
+package traefik_botfilter
+```
+
+### 2. 严格对齐物理目录层级
+对于 Traefik 的本地插件（`localPlugins`），源码所在的物理路径必须严格复刻完整的 Go 模块导入路径，挂载于 `plugins-local/src/` 下：
+
+```text
+plugins-local/
+└── src/
+    └── github.com/
+        └── hoelee/
+            └── traefik-botfilter/
+                ├── .traefik.yml
+                ├── go.mod
+                ├── botfilter.go
+                ├── config.go
+                └── ...
+```
+
+<details>
+<summary>点击查看修正后的动态 Traefik 中间件配置示例</summary>
+
+```yaml
+http:
+  middlewares:
+    botfilter:
+      plugin:
+        botfilter:
+          statusCode: 403
+          requireUserAgent: true
+          requireAccept: true
+          browserValidation: true
+          temporaryBanMinutes: 15
+          scoreThreshold: 100
+          blockedPaths:
+            - /.env
+            - /.git
+            - /wp-login.php
+          blockedUserAgents:
+            - sqlmap
+            - nikto
+            - masscan
+          logBlockedRequests: true
+
+  routers:
+    protected-app:
+      rule: Host(`service.internal`)
+      entryPoints:
+        - websecure
+      middlewares:
+        - botfilter
+      service: backend-service
+```
+
+</details>
+
+---
+
+## 交付结果
+
+将源码包名从 `botfilter` 修正为 `traefik_botfilter` 后重新启动 Traefik，容器在 **0.42 秒** 内平稳拉起并成功装载插件：
+
+```text
+2026-10-23T04:48:43Z INF Loading local plugin: botfilter
+2026-10-23T04:48:44Z INF Plugin loaded successfully module=github.com/hoelee/traefik-botfilter
+```
+
+对于开发 Traefik 动态插件的工程师而言：**Go 官方编译器的通过并不代表动态运行时的认可。** 必须确保包名与模块路径最后一段的下划线转换规则完全一致，才能避免网关在生产启动时发生静默瘫痪。