直接用time.ticker+os.stat+crypto/sha256实现轻量级定时文件校验，需每10分钟扫描一次，先os.stat检查存在性与一致性，再io.copy流式计算sha-256哈希，避免仅比对大小或modtime，并将历史哈希存独立json文件带时间戳校验。
如何用 Go 启动一个轻量级定时文件校验任务
直接上结论：不用引入 cron 或外部调度器，time.Ticker + os.Stat + crypto/sha256 就能跑起来，但必须处理好并发读取和路径变更问题。
典型场景是监控配置文件、证书、关键二进制等是否被意外修改。Go 本身没有“文件监听”原语（fsnotify 是第三方），而定时扫描更可控、更少误报。
- 用
time.NewTicker(10 * time.Minute)控制频率，避免太密导致 I/O 压力 - 每次扫描前先用
os.Stat检查文件是否存在且未被删改（比直接os.Open更早失败） - 校验时用
io.Copy配合hash.Hash流式计算，不把整个文件 load 到内存 - 务必加
defer f.Close()，否则多次扫描后可能触发 “too many open files” 错误
为什么不能只比对文件大小或 ModTime
文件大小和修改时间（ModTime()）都不可靠：攻击者或错误脚本可篡改时间戳，甚至只改几个字节——大小不变，内容已变。必须算哈希。
SHA-256 是当前最稳妥的选择；MD5 和 SHA-1 已不推荐用于完整性校验，尤其在安全敏感场景。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
-
os.Stat返回的ModTime是系统时间，可被任意调整，完全不可信 - 某些编辑器（如 vim）保存时会先写临时文件再 rename，此时
ModTime变了但内容可能没变，也可能变了但没变 —— 无法判断 - 若文件很大（>100MB），建议用
sha256.Sum256的指针接收方式，避免拷贝哈希值
如何安全存储和比对历史哈希值
别把哈希硬编码在代码里，也别存在同一目录下（被一起篡改）。推荐存到独立路径的 JSON 文件中，带时间戳和路径字段。
示例结构：
{"path":"/etc/myapp/config.yaml","hash":"9f86d081...","scanned_at":"2024-06-15T10:22:11Z"}
- 首次运行时生成哈希并写入，后续每次扫描都读取该文件做比对
- 写入前用
os.WriteFile而非os.Create+Write，避免中间状态残留 - 校验失败时，不要直接 panic，应记录日志并返回错误（
fmt.Errorf("hash mismatch for %s", path)），由上层决定是否告警或退出 - 如果多个文件共用一个校验文件，注意并发写冲突 —— 加
sync.Mutex或用单 goroutine 更新
遇到 symlink、permission denied 怎么办
真实环境里，os.Open 遇到权限不足或符号链接指向无效路径时会返回 error，不是 panic。必须显式检查。
- 对
os.Open的返回 error 做分类处理：os.IsPermission(err)、os.IsNotExist(err)、errors.Is(err, syscall.EACCES) - 符号链接默认会被
os.Open自动解析；如需跳过 symlink，用os.Lstat先判断fi.Mode()&os.ModeSymlink != 0 - 若目标路径含相对路径（如
../conf/app.conf），建议用filepath.Abs归一化，避免重复扫描同一文件的不同路径形式 - Linux 下某些挂载点（如
/proc、/sys）禁止读取，扫描前用strings.HasPrefix(path, "/proc")等简单过滤更省事
最常被忽略的是：校验逻辑跑在容器里时，宿主机挂载的文件可能有 UID/GID 权限差异，os.Open 失败不等于文件不存在 —— 得看具体 error 字符串是否含 “permission denied”。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
