gopkg.in/yaml.v3 的 unmarshalyaml 方法是唯一靠谱的接入点，必须在字段赋值前解密，避免明文入内存；需严格校验密钥长度、nonce 长度、文件权限（0400）及 utf-8 bom，否则整个加密链一错即崩。
gopkg.in/yaml.v3 的 UnmarshalYAML 方法是唯一靠谱的接入点。硬编码密钥、base64 伪装、环境变量直传密码，全都会在运行时或镜像层里暴露。真正能落地的方案，必须把解密逻辑压进 YAML 解析过程本身。
为什么不能在 yaml.Unmarshal 后再手动解密字段
因为配置结构体字段（如 DBConfig.Password）通常是 string 类型，一旦解析完成，明文就已进入内存；若此时再调用解密函数，等于把密文字符串先存一遍、再解一遍——中间多一次无意义的字符串拷贝，且无法阻止日志打印、pprof dump 或 panic 堆栈里泄露原始密文。更关键的是，你没法拦截 yaml.Unmarshal 对嵌套结构（比如 redis.password 在 map[string]interface{} 里）的自动赋值行为。
- 解密时机必须早于字段赋值，否则凭据已在内存中裸奔
- 不能依赖“业务层统一处理”，不同服务结构体定义不一致，容易漏掉某个
Secret字段 -
json.Unmarshal同理，但 YAML 更常见于配置场景，且支持自定义钩子
UnmarshalYAML 中如何安全调用 cipher.AEAD.Open
核心是：密文格式必须固定，nonce 必须可提取，密钥来源必须可信。GCM 要求 nonce 长度严格为 12 字节，不是 16；拼接方式必须是 "nonce:xxx|ciphertext:yyy" 这类可解析结构，而不是直接二进制拼接（YAML 不支持 raw bytes 字面量）。
- 先用
value.Decode(&raw)拿到原始字符串，再按分隔符切分；别用strings.SplitN(raw, "|", 2)然后直接base64.StdEncoding.DecodeString—— 若密文含非法 base64 字符会 panic - nonce 解码后必须检查长度 == 12，否则
cipher.NewGCM(block).Open会直接 panic，不是返回 error - 密钥不能从
os.Getenv("KEY")拿完就用，得先校验长度是否为 32（AES-256），否则aes.NewCipher就挂了 - 解密失败时返回具体 error（如
"failed to open GCM: cipher.ErrDecrypt"），不要吞掉，否则连接数据库时才报"password authentication failed"就太晚了
密钥文件权限与加载路径的硬性检查
开发环境用 KMS 是理想状态，但多数内部服务仍依赖本地密钥文件。这时候 os.Stat 校验不是可选项，是保命线。
- 密钥文件路径必须写死在代码里（如
"/etc/myapp/key.aes"），不能由配置驱动——否则攻击者改 YAML 就能指定任意路径读取 -
fi.Mode().Perm() & 0777必须等于0400，不能只检查0400 —— 如果是 <code>0444，group/o 都能读，一样不安全 - 必须调用
os.Geteuid() == 0判断是否 root，非 root 进程不该有权限读/etc/下的密钥文件；若非 root 却读到了，说明文件权限设错了 - 密钥文件不能和配置文件同目录，更不能叫
config.key—— 容器镜像里ls -l /app一眼就能看到
解密后字节流怎么喂给 yaml.Unmarshal 不出错
解密返回的是 []byte，但 YAML 解析器期望的是合法 UTF-8 字节流。如果原始配置含 BOM、控制字符或加密前未做标准化，直接传进去会触发 "invalid character ' 错误。
- 先用
bytes.TrimPrefix(plaintext, []byte{0xEF, 0xBB, 0xBF})干掉 UTF-8 BOM，否则开头三个字节会被当作文本内容解析 - 别用
string(plaintext)转成 string 再传，Go 的 string 是只读 UTF-8 序列，非法字节会直接让yaml.Unmarshal拒绝解析 - 原始配置文件必须用
yaml.Marshal生成（而非手写），确保缩进、引号、锚点等语法合法；加密前做一次yaml.Unmarshal + yaml.Marshal双向验证，能提前暴露格式问题 - 如果解密后首字节是
0x00（比如某些填充残留），yaml会认为是二进制数据，需强制加双引号或改用interface{}解析后再类型断言
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
