Handler & middleware

Middleware di Go bukan fitur framework. Ia cuma fungsi yang menerima Handler dan mengembalikan Handler — dan karena semua orang memakai tipe yang sama, middleware dari pustaka mana pun bisa dipasang di server mana pun.

Interface-nya

type Handler interface {
	ServeHTTP(w http.ResponseWriter, r *http.Request)
}

// Adaptor supaya fungsi biasa memenuhi interface itu
type HandlerFunc func(http.ResponseWriter, *http.Request)

func (f HandlerFunc) ServeHTTP(w http.ResponseWriter, r *http.Request) {
	f(w, r)
}

Empat baris terakhir itu adalah salah satu potongan kode paling berpengaruh di Go: ia membuat fungsi biasa, struct dengan method, router, FileServer, dan setiap framework pihak ketiga semuanya menjadi hal yang sama di mata server.

Bentuk middleware

func Log(log *slog.Logger) func(http.Handler) http.Handler {
	return func(next http.Handler) http.Handler {
		return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
			mulai := time.Now()

			ww := &penulisTerbungkus{ResponseWriter: w, status: http.StatusOK}
			next.ServeHTTP(ww, r)          // ← sebelum baris ini: pra-proses

			log.InfoContext(r.Context(), "permintaan",
				"metode", r.Method,
				"path", r.URL.Path,
				"status", ww.status,
				"byte", ww.byte,
				"durasi_ms", time.Since(mulai).Milliseconds())
		})
	}
}

Bentuk func(http.Handler) http.Handler ini adalah konvensi de facto seluruh ekosistem. Karena semua sepakat, middleware dari chi bisa dipakai di server ServeMux polos, dan sebaliknya.

Membungkus ResponseWriter

type penulisTerbungkus struct {
	http.ResponseWriter
	status  int
	byte    int
	tertulis bool
}

func (w *penulisTerbungkus) WriteHeader(kode int) {
	if w.tertulis {
		return                      // cegah "superfluous WriteHeader"
	}
	w.status, w.tertulis = kode, true
	w.ResponseWriter.WriteHeader(kode)
}

func (w *penulisTerbungkus) Write(b []byte) (int, error) {
	if !w.tertulis {
		w.WriteHeader(http.StatusOK)
	}
	n, err := w.ResponseWriter.Write(b)
	w.byte += n
	return n, err
}

// WAJIB: tanpa ini, SSE dan streaming berhenti bekerja.
func (w *penulisTerbungkus) Flush() {
	if f, ok := w.ResponseWriter.(http.Flusher); ok {
		f.Flush()
	}
}

// WAJIB: tanpa ini, upgrade WebSocket gagal.
func (w *penulisTerbungkus) Hijack() (net.Conn, *bufio.ReadWriter, error) {
	if h, ok := w.ResponseWriter.(http.Hijacker); ok {
		return h.Hijack()
	}
	return nil, nil, errors.New("tidak mendukung hijack")
}

Urutan pemasangan

handler := Pulihkan(          // ← jalan PERTAMA, selesai TERAKHIR
	RequestID(
		Log(logger,
			BatasWaktu(10*time.Second,
				CORS(
					mux,      // ← handler sebenarnya
				)))))

masuk  ► Pulihkan ► RequestID ► Log ► BatasWaktu ► CORS ► handler
keluar ◄ Pulihkan ◄ RequestID ◄ Log ◄ BatasWaktu ◄ CORS ◄

Merantai tanpa tanda kurung bertingkat

type Rantai []func(http.Handler) http.Handler

func (c Rantai) Bungkus(h http.Handler) http.Handler {
	for i := len(c) - 1; i >= 0; i-- {   // dari dalam ke luar
		h = c[i](h)
	}
	return h
}

handler := Rantai{
	Pulihkan,
	RequestID,
	Log(logger),
	BatasWaktu(10 * time.Second),
}.Bungkus(mux)

Middleware yang menghentikan permintaan

func (h *Handler) WajibLogin(next http.Handler) http.Handler {
	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		u, err := h.auth.DariRequest(r)
		if err != nil {
			http.Error(w, "unauthorized", http.StatusUnauthorized)
			return                    // ← WAJIB. Tanpa ini handler tetap jalan.
		}

		// Teruskan identitas lewat context, bukan lewat variabel global.
		ctx := auth.DenganPengguna(r.Context(), u)
		next.ServeHTTP(w, r.WithContext(ctx))
	})
}

Middleware yang layak dipunyai sejak awal

1. Pemulih panic — dengan stack trace dan penghitung untuk alarm.
2. Request ID — dibuat kalau belum ada, dikembalikan lewat header, ikut ke setiap baris log.
3. Log akses terstruktur — metode, path (pola rute, bukan URL mentah), status, durasi, ukuran.
4. Timeout — memasang tenggat pada r.Context().
5. Header keamanan — X-Content-Type-Options, Referrer-Policy, CSP (Fase 6).
6. Batas ukuran body — http.MaxBytesReader untuk semua metode yang menerima body.