http.FileServer直接暴露根目录会导致路径遍历漏洞，如访问/..%2f/etc/passwd可读取系统文件；正确做法是限定真实子目录、配合StripPrefix，并优先使用embed内嵌资源。

注册用bcrypt安全哈希密码并统一邮箱提示；登录用CompareHashAndPassword恒定时间比对且不区分错误类型；会话优先gorilla/sessions+Redis；SQL防注入用参数化查询，XSS防护需HTML清洗。

Gosort包不支持自动推断类型排序，需用sort.Ints/sort.Strings等专用函数排基础类型，或实现sort.Interface接口排自定义类型；所有排序原地进行、稳定、时间复杂度O(nlogn)。

AS用于列和表别名，提升可读性；列别名可在ORDERBY/HAVING中引用，但WHERE中不可用；表别名在JOIN中避免歧义；CREATEVIEW和导出时影响元数据与标题。

PubNub服务返回的消息常为包含多层嵌套、类型不统一的JSON数组（如[[{...}],"msg-id","channel"]），Go原生结构体无法直接反序列化此类非同质数组，需自定义UnmarshalJSON方法实现灵活解析。

商品基础字段应精简：仅保留id、name、category_id、price（DECIMAL）、cost_price、status、created_at、updated_at；规格拆至product_spec和product_sku表；图片和详情分离存储；状态管理用publish_status+published_at...