x/crypto不是标准库替代品，而是专为现代、高安全、跨平台场景补缺的扩展包，聚焦chacha20-poly1305、argon2、blake2b、curve25519等标准库未覆盖或实现不足的算法。
直接说结论：x/crypto 不是标准库的替代品，而是专为现代、高安全、跨平台加密场景补缺的扩展包；它不提供 AES、RSA 这类基础算法（那些在 crypto/aes、crypto/rsa 里），而是聚焦于标准库没覆盖或实现不够完善的算法——比如 ChaCha20-Poly1305、XTS、Argon2、BLAKE2b、Curve25519 等。
chacha20poly1305.New() 为什么比 crypto/aes 更适合网络传输？
因为它是 AEAD（认证加密带关联数据）算法，一次调用同时完成加密 + 完整性校验，不需要你手动拼接 HMAC 或做额外验证。而 crypto/aes 默认只提供原始分组密码，用 CBC/CTR 模式时必须自己处理填充、IV 管理、MAC 计算，极易出错。
- 每次加密必须用唯一
nonce：重复使用(key, nonce)对会导致密文可被重放甚至密钥泄露 -
nonce长度固定：aead.NonceSize()返回值通常是 12 字节（ChaCha20-Poly1305）或 24 字节（XChaCha20-Poly1305），不能硬写make([]byte, 12)就完事，得查接口 - 关联数据（
associatedData）不加密但参与认证：适合放 header、timestamp、user_id 等元信息，解密时会一并校验 - 硬件加速自动生效：导入
golang.org/x/crypto/chacha20poly1305后，Go 会在支持的 CPU 上自动用汇编优化版本，无需手动切换
argon2.IDKey() 生成密码哈希时，参数怎么选才不翻车？
Argon2 是目前推荐的密码派生算法（替代 bcrypt/scrypt），但它的三个核心参数——time、memory、threads——调错一个就可能拖慢登录 10 倍，或让攻击者暴力破解成本大幅下降。
-
time（迭代次数）建议设为 1–3：不是越大越好，要结合memory综合评估；设成 10 会让单次哈希耗时从 ~100ms 涨到 ~1s，用户感知明显 -
memory（内存用量）单位是 KiB，最低 64KiB，推荐 64 * 1024（即 64MiB）：低于这个值会削弱抗 GPU 攻击能力；高于 256MiB 可能触发 Linux OOM killer -
threads建议设为 CPU 逻辑核数的一半：设成 16 在 8 核机器上反而引发锁竞争，实测 4 更稳 - 盐值（
salt）必须每次随机：用crypto/rand.Read()生成，长度至少 16 字节；别复用、别用时间戳当盐
blake2b.Sum256() 和 crypto/sha256 有什么实际区别？
两者都输出 256 位哈希，但 BLAKE2b 更快、更安全、更灵活——尤其在需要可变长输出、密钥哈希（HMAC 替代）、或嵌入式低资源环境时，blake2b 是明确优于 sha256 的选择。
- 速度：BLAKE2b 在 AMD64 上比 SHA256 快 1.5–2 倍，且无已知碰撞攻击，而 SHA256 虽安全但设计较老
- 可变输出长度：
blake2b.New(&blake2b.Config{Size: 32})可输出任意 ≤ 64 字节长度，SHA256 固定 32 字节 - 原生支持密钥模式：不用再套一层 HMAC，
blake2b.New(&blake2b.Config{Key: key})直接生成密钥哈希，适合做消息认证 - 注意：
blake2b.Sum256()是函数名，不是类型；它返回的是[32]byte，不是[]byte，别忘了用[:]转切片
curve25519.X25519() 实现密钥交换时，哪些操作不能省？
X25519 是目前最主流的 ECDH 密钥交换算法，但它的输入/输出都是 32 字节 raw bytes，没有 ASN.1、PEM、点坐标等概念——这意味着所有“格式转换”步骤都得你自己做，漏一步就解不出密钥。
- 私钥必须是 32 字节、经
crypto/rand.Read()生成的随机数；不能用sha256.Sum256().Sum(nil)截取，那不是合格私钥 - 公钥不能直接传 raw bytes：网络传输前建议 base64 编码，存储时可用 hex；但解码后必须严格校验长度是否为 32
- 调用
curve25519.X25519(privateKey, publicKey)前，确保publicKey是对方发来的原始 32 字节，不是带 0x04 前缀的未压缩格式（那是 secp256k1 的玩法） - 结果是 32 字节共享密钥：通常需再喂给
hkdf.New()派生出对称密钥，别直接当 AES key 用
最容易被忽略的是：x/crypto 中多数包（如 chacha20poly1305、argon2、blake2b）不依赖 cgo，纯 Go 实现，但 curve25519 和 ed25519 的汇编优化路径只在 amd64/arm64 生效；如果你在 386 或 wasm 环境跑，性能会掉一截，得提前压测。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
