真正安全的做法是让敏感信息“不进内存、不进日志、不进 Git、不进环境变量”；推荐文件挂载 + os.ReadFile，K8s Secret 以 volume 方式挂载为权限 0440 的文件，Go 直接读取且绝不打印内容。
直接用 os.Getenv 读敏感配置是危险的起点，不是终点。它能跑通，但会把密钥塞进进程环境、容器镜像层、/proc/[pid]/environ、调试日志甚至错误堆栈里。真正安全的做法是让敏感信息“不进内存、不进日志、不进 Git、不进环境变量”。
为什么不能只靠 os.Getenv("DB_PASSWORD")
常见错误现象：ps aux | grep myapp 能看到完整环境变量列表；Kubernetes 中用 envFrom 注入 Secret 会导致所有字段暴露给容器内任意进程；日志中打错一行 log.Printf("pwd: %s", pwd) 就全泄露。
- 环境变量在 Linux 下对同用户所有进程可见，权限模型极弱
- 容器镜像构建时若在
Dockerfile中ENV或RUN export，密钥会固化在某一层，无法清理 - Go 的
runtime/pprof、net/http/pprof等调试接口可能间接泄露环境内容 - 没有默认值兜底或类型校验，拼错变量名就静默为空字符串，导致连接失败却查不出原因
推荐方案：文件挂载 + os.ReadFile（K8s / Docker 场景）
这是目前云原生场景下最可控、攻击面最小的方式。Kubernetes Secret 默认以 volume 方式挂载为文件，权限为 0440，只有指定用户可读，且不会出现在进程环境里。
- YAML 中定义挂载路径，例如
/etc/secrets/db/password - Go 代码统一用
os.ReadFile("/etc/secrets/db/password")读取（Go 1.16+，不用ioutil） - K8s 挂载的是已解码后的原始字节，无需手动 base64 解码
- 务必检查错误，但绝不能把读到的内容打印出来——连
log.Printf("loaded secret len: %d", len(pwd))都建议去掉，长度本身也可能构成侧信道
本地开发时，用相同路径（如 ./secrets/db/password）模拟，由 make secrets 或 CI 脚本生成，不提交到 Git。
静态密钥用 SOPS 加密，但 Go 不参与解密
典型错误是让 Go 启动时调 exec.Command("sops", "--decrypt", "config.yaml") —— 这引入了权限、超时、错误码、GPG socket 访问等一堆不可控问题，且密钥管理逻辑混进了业务代码。
- SOPS 只用于 CI/CD 流水线：解密后生成 K8s
SecretYAML，再kubectl apply - 或者预解密进镜像：构建阶段运行
sops --decrypt -i config.yaml，覆盖原文件，再 COPY 进镜像 - Go 应用只从文件或环境变量读明文，完全不知道 SOPS 存在
- 加密文件如
secrets.env.sops可提交 Git，但必须确保 CI 环境有对应 GPG/KMS 密钥且权限最小化
如果硬要解析加密 YAML，错误会是：yaml: unmarshal errors: cannot unmarshal !!str `ENC[AES256_GCM,data:` into struct —— 因为 Go 的 yaml.Unmarshal 不认识 SOPS 的 ENC 标记。
动态凭据走 Vault，但别在 init() 里直连
数据库密码、短期 token 这类每小时轮换的密钥，适合用 HashiCorp Vault 动态生成。但直接在 Go 的 init() 或 main() 开头调 Vault SDK 是高风险操作。
- 启动时阻塞等待 Vault 响应，Vault 慢或不可用 → 服务起不来
- Token 权限配置错（比如只给了
secret/myapp而非secret/data/myapp），返回空值却无提示 - 正确做法是用 shell wrapper 启动：
vault kv get -format=json secret/myapp | jq -r 'to_entries[] | "\(.key)=\(.value)"' | xargs -I{} sh -c 'export {}; exec "$@"' - 或用 Vault Agent sidecar 注入环境变量，Go 应用仍用
os.Getenv，但变量来源受控、生命周期独立
最关键的一点：Vault 返回的是嵌套结构，vault kv get secret/myapp 默认输出含 data.data 字段，必须加 -format=json 和 jq 提取，否则导出的全是空值。
真正难的不是选哪种工具，而是守住“密钥不落地、不进进程、不进日志”这条线。哪怕用了 Vault，如果日志里打了 fmt.Sprintf("got vault resp: %+v", resp)，整套防护就归零。安全配置的本质，是持续对抗人类的疏忽和系统的惯性。
