应使用 os.readfile 读取挂载的 secret 文件而非 os.getenv，因环境变量在 linux 下明文可见且易被共享；k8s secret 必须以文件方式挂载并设权限 0440，本地用 make secrets 模拟，严禁打印密钥长度或内容，仅加密敏感字段而非整文件，采用 aes-gcm 加密并确保 nonce 唯一、密钥可信、字段脱敏。
用 os.ReadFile 读文件，别碰 os.Getenv
环境变量是 Linux 下最松散的“共享内存”，ps aux、/proc/[pid]/environ、容器 env 命令全都能直接看到明文。Kubernetes 中用 envFrom 注入 Secret 更会让所有同用户进程共享密码。
- K8s Secret 必须挂载为文件（如
/etc/secrets/db/password），权限设为0440 - Go 用
os.ReadFile读取，不是os.Getenv - 本地开发时，用相同路径（如
./secrets/db/password）模拟，由make secrets生成，不进 Git - 绝不能打印读取结果长度或内容本身——
log.Printf("pwd len: %d", len(b))可能构成侧信道
只加密敏感字段，别 AES 整个配置文件
整文件 AES 加密会让 jq、helm template、yq 全失效，diff 看不出变更，CI 脚本还得额外加解密步骤，还容易误把密文当明文提交。
- TOML/YAML/JSON 保持明文，仅对特定键加密，如
database.password、api.token - 解析后递归遍历
map[string]interface{}，命中敏感 key 名时调用解密函数还原为字符串 -
viper不支持运行时修改嵌套结构，建议先用mapstructure.Decode转成map再处理 - YAML 的
!vault标签只是伪加密——本质还是 base64 编码的明文，别被名字骗了
用 crypto/aes + GCM 加密，别手搓 CBC+HMAC
Go 标准库没有 encryptConfigFile 这种函数，所有加解密逻辑都得自己写。AES-GCM 是目前最稳妥的选择：一次调用同时完成加密和认证，避免 IV 重用、HMAC 验证顺序等经典坑。
-
nonce必须随机生成且固定 12 字节：nonce := make([]byte, 12); rand.Read(nonce)，绝不能用时间戳或计数器 - 密文存储格式为
nonce + ciphertext + authTag（共 12 + N + 16 字节），必须base64.StdEncoding.EncodeToString()后再写入 YAML 字段 - 强烈建议加前缀标识，如
ENC[AES-GCM]::，方便解密时快速识别和跳过非密文字段 - 密钥严禁硬编码：从环境变量（仅路径）、KMS（Vault/AWS KMS）或文件（
chmod 600）加载
结构体字段必须主动脱敏，unexported 不等于安全
小写字段（如 password string）在本包内 fmt.Println 照样输出明文；反射、unsafe、日志库底层也能读取。
- 实现
fmt.Formatter和slog.LogValue，让日志自动隐藏敏感值 - 用
mapstructure.DecodeHookFunc在反序列化时做字段级脱敏，比如匹配"password"、"secret"、"key"路径 - 解密失败统一返回
400 Bad Request，不暴露是密钥错、nonce 错还是数据损坏 - 如果用
gopkg.in/yaml.v3，优先走UnmarshalYAML方法注入解密逻辑，比预处理整个 map 更干净
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
