Go 1.27 泛型方法与零分配路由的 HTTP Router FURSY：独立审计发现了什么（94% 覆盖率）

作者介绍 FURSY v0.5.4，一个面向 Go 1.27+ 的 HTTP 路由库，支持 router.POST("/users", handler) 形式的泛型方法，handler 接收类型化的 *Box[CreateReq, UserRes]，并声称零分配路由低于 100 ns/op。作者称在 94% 测试覆盖率、35 项内部审计问题修复、三操作系统 12 项 CI 检查后，将代码交给独立审计，结果发现 CORS 中间件向浏览器回显未过滤请求头、SECURITY.md 记录了六个不存在的 API、错误响应声称符合 RFC 9457 却返回 text/plain、路径解析器在广泛使用的 REST 约定下 panic。文章讲述问题成因、修复过程及清理后的 FURSY。

AI推荐理由 作者自述 FURSY v0.5.4 在 94% 覆盖率、35 项内部审计问题修复后仍被独立审计发现 CORS 中间件回显未过滤请求头、SECURITY.md 描述六个不存在的 API、错误响应声称符合 RFC 9457 却返回 text/plain、路径解析器在常见 REST 约定下 panic 等具体缺陷。这些是输入中明确给出的新信息，对 Go 1.27 泛型路由与零分配路由的工程实践有参考价值；但内容为作者自述，独立审计方身份与结论无法从输入核实，且属个人项目经验分享，非官方首发或可验证基准，故兴趣分中等。