升到 Go 1.27 后，若脚本还写着 go tool trace -http=:6060，外网或跨机浏览器可能突然打不开：仅端口时现在只绑 localhost，与 go tool pprof -http 对齐。本稿讲怎么认、怎么改成显式地址、怎么验，不写其它升级项。
同系列：GODEBUG 旧值、require 块合并、stdversion 怎么验、JDK27 Xverify none——一句对照，不写进本稿交付。
痛点：升 1.27 后 -http=:6060 外网打不开？
现场三类卡点：
目标很具体：Go 1.27 Trace 仅端口时只监听 localhost；需要全网卡访问时改成显式 -http=0.0.0.0:端口（或具体网卡 IP），本机调试可继续用 :端口，并用本机/非本机冒烟验收。
图注：旧 -http=:6060 外网预期 → 1.27 仅端口只绑 localhost → 与 pprof -http 对齐 → 显式 0.0.0.0 → 冒烟通过。
规则：仅端口时到底听在哪？
口径以 Go 1.27 Release Notes — Trace 为准（核对日 2026-10-31 Asia/Shanghai）：
| 对象 | go tool trace 的 -http 命令行选项 |
| 仅端口（如 -http=:6060） | 限制为只监听 localhost |
| 对齐 | 与 go tool pprof 的 -http 一致 |
| 全地址监听 | 须显式写出地址，例如 -http=0.0.0.0:6060 |
| 触发面 | go tool trace CLI |
| 勿写 | 「取消了 -http」；「默认端口变更」；「runtime/pprof HTTP 默认变了」 |
原文方向很清楚：-http passed only a port（e.g. -http=:6060）→ restrict listen address to localhost；makes go tool trace consistent with go tool pprof’s -http；to listen on all addresses，explicitly include the address（e.g. -http=0.0.0.0:6060）。
本稿只守「CLI 上 -http 绑定语义收紧 + 显式地址 + 验收」。不要夸成「trace 协议/默认端口一夜变了」，也不要把 net/http/pprof 进程内 endpoint 默认监听写进这篇主线。
和 go tool pprof 的 -http 是同一套规则吗？
是同一套「仅端口 → localhost」口径。 1.27 明确写的是让 go tool trace 与 go tool pprof 的 -http 行为一致。实务上：
- 团队若已按 pprof 习惯写 -http=127.0.0.1:端口 或 -http=0.0.0.0:端口，trace 侧照搬即可。
- 若文档只教了「-http=:6060 就能给同事看」，升 1.27 后要补一句：仅端口只给本机。
- 不是说 runtime/pprof 或 net/http/pprof 的 HTTP 服务默认绑定也在本 release 被改写成「仅 localhost」——那是进程内 handler，本稿触发面是 CLI 工具。
# 仅端口：Go 1.27 起 go tool trace 只绑 localhost（与 pprof -http 对齐）
go tool trace -http=:6060 dump.out
# 需要全网卡 / 跨机访问：显式写出地址
go tool trace -http=0.0.0.0:6060 dump.out
# 只绑某块网卡 IP（示例）
go tool trace -http=192.168.1.10:6060 dump.out
要全网卡监听该怎么写？
| 本机浏览器调试 | -http=:6060 或 -http=127.0.0.1:6060 | 可继续用；符合 1.27 默认收紧 |
| 跨机 / 容器外访问 | -http=0.0.0.0:6060 | 显式全地址；再配合防火墙/安全组 |
| 指定网卡 | -http=<网卡IP>:6060 | 比 0.0.0.0 更窄，适合固定调试机 |
| 「关掉 -http」 | （非本稿解法） | Notes 没有取消 -http；别用「删掉 flag」当迁移方案 |
容器里常见坑：Pod 内用 :6060 以为 NodePort/Ingress 能转进来——若进程只听 127.0.0.1，集群内其它 Pod 或节点端口转发仍可能失败。需要从容器外打开 UI 时，优先显式 0.0.0.0（并确认安全边界允许），而不是先怀疑 Ingress 注解。
# 错误预期：以为 :6060 仍等于「全网卡可访问」
# go tool trace -http=:6060 dump.out # 1.27 起仅 localhost
# 正确：跨机访问显式绑定
go tool trace -http=0.0.0.0:6060 dump.out
容器里做 trace：绑 127.0.0.1 还是 0.0.0.0？
按谁来打开 UI选，不要一刀切：
怎么快速核脚本/文档有没有旧写法？
典型落点：Makefile 的 trace/pprof 目标、内部 runbook、CI 上传完 .out 后自动起 UI 的步骤、IDE External Tool。粗扫示例：
# 粗扫：定位仅端口写法（在仓库根执行；按团队规范调整）
rg -n 'go tool trace.*-http=:' . || true
rg -n 'tool trace.*-http' docs/ scripts/ Makefile* .github/ || true
分流建议：
- 确认只给本机用 → 可保留 :端口，在文档加一句「1.27 起仅 localhost」。
- 要对同事/远程打开 → 改成 0.0.0.0:端口 或具体 IP，并更新截图与安全说明。
- 示例里写「取消 -http 即可」 → 删掉这种误导；flag 仍在，变的是绑定语义。
最小验收：对照 Trace + 本机/非本机冒烟
验收重点不是「换个默认端口再试」，而是：需要外网的入口已显式地址；本机与非本机行为符合预期。
# 1）确认工具链
go version # 期望 go1.27.x
# 2）本机：仅端口应可在本机打开（示例端口按你们环境）
go tool trace -http=:6060 dump.out
# 另开终端：
curl -sS -o /dev/null -w '%{http_code}\\n' http://127.0.0.1:6060/
# 3）非本机：仅端口预期不可达；显式 0.0.0.0 后可达（网络策略允许时）
# 远程机器：
# curl -sS -o /dev/null -w '%{http_code}\\n' http://<trace主机IP>:6060/
对照清单建议贴进升版评审：
图注：扫描 -http=: → 对照 Trace → 需外网则显式地址 → 本机/非本机冒烟 → 确认未取消 -http、未编造端口变更 → 与 pprof 对齐口径。
现场怎么扫：一份可复制的检查单
升版窗口往往不止一个仓库。建议按「入口脚本 → 文档示例 → 生成物流水线」三层扫，避免只改业务 Makefile、漏掉内部平台模板：
搜索可以粗一点，人工确认再细：
# 粗扫：定位候选行
rg -n 'go tool trace' -g '!vendor' .
rg -n — '-http=:' -g '*.md' -g 'Makefile*' -g '*.sh' -g '*.yml' -g '*.yaml' .
命中后按场景打标签：本机-only / 需跨机 / 文档误导。本机-only 保留 :端口 并加注释；需跨机改显式地址；文档误导同步改示例与安全提示。改完不要只在笔记本上点绿就宣称「trace 监听迁移完成」——至少做一次「另一台机器或另一容器网络命名空间」的负向/正向对照。
和「防火墙拦了」怎么区分？
升版现场常见两种误读，别混成一种故障单：
无论哪种，验收标准都一样：需要跨机的入口已显式非 loopback；本机与非本机行为可重复跑绿；评审口径不出现「取消 -http」「默认端口改了」「runtime/pprof HTTP 默认变了」。
评审时怎么对齐口径？
把下面几句贴进升版评审纪要通常够用：
- 事实：go tool trace -http 仅端口时只监听 localhost（Go 1.27 Trace）。
- 对齐：与 go tool pprof -http 一致。
- 改法：跨机用 -http=0.0.0.0:端口 或具体网卡 IP；本机可继续 :端口。
- 边界：触发面是 CLI；没有取消 -http；没有默认端口变更叙事。
- 勿抢：本稿不验收 GODEBUG、require、stdversion、goroutineleak、synctest、json/v2、uuid、Green Tea——那些走专文。
口头禅建议统一成：「仅端口=localhost，全监听写显式地址，本机/跨机都冒烟」——比「trace 页面打不开先重装工具链」清楚得多。平台公共模板若曾注入 -http=:6060，要按服务覆盖检查，避免「业务脚本已改、平台模板仍仅端口」的双份配置。
和 GODEBUG / require / stdversion 是一回事吗？
不是。GODEBUG 旧值、require 块合并、stdversion vet 是同升版工具链的其它专文；本稿是 go tool trace -http 监听地址收紧。内链见文首，勿把 asynctimerchan、tidy 双 require、vet stdversion、goroutineleak、synctest、json/v2、uuid、Green Tea 写进这篇的验收标准。
跨语言对照一句即可：JDK 27 上启动参数类移除见 Xverify none——同属「升版后旧写法失效」系列，机制完全不同，勿混验收。
常见误读 FAQ
Q：Go1.27 升后为什么 -http=:6060 外网打不开？ 因为仅端口时 go tool trace 现在只监听 localhost；需要全网卡须显式写地址。
Q：和 go tool pprof 的 -http 是同一套规则吗？ 是。1.27 明确与 pprof 的 -http 对齐「仅端口 → localhost」。
Q：要全网卡监听该怎么写？ 例如 -http=0.0.0.0:6060，或换成具体网卡 IP。
Q：容器里做 trace 该绑 127.0.0.1 还是 0.0.0.0？ 只在容器本机看 → loopback/仅端口；要从容器外打开 → 显式非 loopback，并收紧网络安全策略。
Q：怎么快速核脚本/文档有没有旧写法？ 搜 go tool trace 与 -http=:；按「仅本机 / 需跨机」分流改文档与脚本。
Q：是不是 -http 被取消了？默认端口改了吗？ 都不是。 勿夸成取消 -http 或编造默认端口变更；触发面是 CLI 绑定语义。
升级清单（给评审贴一条）
小结
| 改了什么 | go tool trace -http 仅端口时只绑 localhost |
| 对齐 | 与 go tool pprof -http 一致 |
| 怎么改 | 全监听：-http=0.0.0.0:端口（或具体 IP）；本机可继续 :端口 |
| 禁写 | 取消 -http；默认端口变更；runtime/pprof HTTP 默认变了 |
| 怎么验 | 对照 Trace 小节；本机 + 非本机冒烟 |
| 勿抢 | GODEBUG / require / stdversion / goroutineleak / synctest / json/v2 / uuid / Green Tea |
升到 1.27 后，-http=:6060 不是坏了，而是更安全地只给本机。需要给别人看 UI 时，显式写出监听地址，并在目标工具链上把本机/跨机路径跑绿。其它 Go 1.27 能力见前述内链，本文不展开。
