fsnotify无法捕获文件读取等访问事件，仅支持元数据变更；审计“谁何时读何文件”必须用auditd：配置规则监听openat等系统调用，go程序通过tail库稳定读取/var/log/audit/audit.log并解析auid、path等字段。
如何用 fsnotify 捕获文件访问事件（Linux）
Linux 内核本身不直接暴露「文件被读取」这类访问事件，fsnotify（Go 的 github.com/fsnotify/fsnotify）默认只监听写、删除、重命名等**元数据变更**，Open 或 read() 不触发事件。想审计「谁在什么时候读了哪个文件」，必须绕过用户态监听，改用内核机制。
实际可行路径只有两条：一是用 inotify + auditd 配合（推荐），二是自己调用 fanotify 系统调用（需 root、Cgo、且仅支持 access 事件的粗粒度拦截）。Go 标准库和主流包都不封装 fanotify，硬上容易卡在权限或事件过滤逻辑里。
- 别试图用
fsnotify.WatchModeAll或监听Write来推断读行为——完全无效 -
auditd是唯一生产级方案：配置规则写入/etc/audit/rules.d/，例如-a always,exit -F arch=b64 -S openat -F path=/etc/passwd -k passwd_access - Go 程序只需读取
/var/log/audit/audit.log或通过auditctl -l确认规则已加载，再用tail -n +1 -f /var/log/audit/audit.log实时解析
解析 audit.log 的关键字段怎么提取
audit.log 每行是键值对格式，但字段顺序不固定、有嵌套（如 cwd=、comm=、exe=、path=、a0= 等），直接正则易漏。重点不是匹配整行，而是定位 type=SYSCALL 和紧随其后的 arch=、syscall=、pid=、auid=、uid=、cwd=、comm=、exe=，以及所有以 path= 开头的字段（可能多个，对应 openat 的多路径参数）。
示例日志片段：type=SYSCALL msg=audit(1712345678.123:456): arch=c000003e syscall=257 success=yes pid=1234 uid=1001 auid=1001 cwd="/home/user" comm="cat" exe="/usr/bin/cat" path="/etc/passwd"
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 用
strings.FieldsFunc(line, func(r rune) bool { return r == ' ' || r == '\t' })拆分字段，再逐个strings.HasPrefix(field, "path=")提取目标路径 -
auid是登录会话 ID（即使 sudo 切换用户也不变），比uid更可靠用于追溯操作者 -
comm是进程名（最多 15 字符），exe是完整路径，两者都应记录；但exe可能被ptrace或LD_PRELOAD伪造，不可全信 - 注意
success=yes/no—— 失败的 open 也可能是恶意探测，不能忽略
Go 程序如何稳定 tail 并处理日志轮转
直接用 os.OpenFile("/var/log/audit/audit.log", os.O_RDONLY|os.O_APPEND, 0) + bufio.Scanner 会丢日志：logrotate 触发后原文件被 rename，Go 文件句柄仍指向旧 inode，新写入进不了程序。
- 必须用
github.com/hpcloud/tail这类专为日志设计的库，它内部用 inotify 监听文件 move/rename，并自动 reopen - 初始化时加
tail.Config{Follow: true, Reopen: true, MustExist: true}，MustExist防止 auditd 未启动时 panic - 每条日志解析失败（比如字段缺失或时间戳异常）应跳过并记录 warn 日志，不能阻塞整个 channel —— audit.log 可能混入非 SYSCALL 行（如 CONFIG_CHANGE）
- 避免在 handler 里做耗时操作（如写数据库）；先发到带缓冲的
chan *AuditEvent，另起 goroutine 异步处理
权限与部署时最容易被忽略的点
auditd 规则生效 ≠ Go 程序能跑通。三个权限层必须全部打通：
- auditd 服务必须运行：
systemctl is-active auditd返回active，否则日志为空 - Go 程序读
/var/log/audit/audit.log需要audit组权限（默认该文件 group 为audit，mode 为0640），把运行用户加进audit组：usermod -a -G audit yourappuser - 如果程序用 systemd 启动，需在 service 文件里显式声明
Group=audit和RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6（避免因安全策略禁用 socket） - 不要把 audit.log 路径硬编码——不同发行版位置可能不同（RHEL/CentOS 是
/var/log/audit/audit.log，Ubuntu 默认关 auditd，需手动启用）
audit 规则一旦加载，就持续生效，跟 Go 程序启停无关；但 Go 程序挂掉期间的日志会积压，重启后需从最新 offset 读，不能假设文件末尾就是最新事件。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
