如何对Golang微服务进行安全加固？容器漏洞扫描-Golang-PHP中文网

必须显式校验err == nil且token.valid == true，限定alg为hs256/rs256，调用claims.verifyexpiresat并白名单校验aud/iss字段，避免明文敏感信息，用户信息须通过context.context传递，容器需user指令与k8s securitycontext协同配置。

如何对golang微服务进行安全加固？容器漏洞扫描

Golang微服务安全加固不是加一层“防护罩”就完事，而是把认证、通信、权限、运行时控制拆进每个服务的代码逻辑里——JWT签发不对、中间件漏校验、凭据明文加载、容器以root跑，任何一个环节松动，整个链路就可能被绕过。

怎么用 `golang-jwt/jwt/v5` 正确验证 Token 而不被绕过

很多人只调用 token.Valid 就放行，结果过期但签名正确的 Token 仍能通过，或被 alg: none 攻击绕过。

必须显式校验 err == nil 且 token.Valid == true，二者缺一不可
token.Header["alg"] 必须限定为 "HS256" 或 "RS256"，拒绝 "none"
claims.VerifyExpiresAt(time.Now().Unix(), true) 要主动调用，不能依赖 token.Valid 的隐含判断
aud 和 iss 字段必须白名单校验（如 claims["aud"] == "backend-api"），防跨服务伪造
别把密码、手机号塞进 payload：JWT 是 Base64Url 编码，非加密，仅用于身份标识

为什么 Auth 中间件必须用 `context.Context` 传用户信息

把 user_id 存全局 map 或包级变量，会在并发请求下出现数据错乱、鉴权失效，甚至 panic。

Golang Spf13 Viper

Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。

下载

context.Context 天然绑定单次 HTTP 请求，线程安全、可取消、生命周期明确
Gin/Echo 的 c.Set()/c.Get() 底层就是基于 context，但务必在中间件中调用 c.Next() 后再取值，否则 handler 还没执行，context 里还没塞数据
避免用 goroutine 异步写入 context —— 它不跨协程传播，子 goroutine 拿不到父 context 的值

容器怎么做到真正非 root 运行而不 fallback 到 root

Dockerfile 里写了 USER，Kubernetes 却还是以 root 启动？常见原因是配置未生效或顺序错误。

USER 指令必须放在 COPY 之后、ENTRYPOINT 之前，且指定 UID 数字（如 USER 1001:1001），不能写用户名（镜像里未必定义）
Kubernetes 中需同时设置 securityContext.runAsUser 和 runAsNonRoot: true，缺一不可
别用 gosu 或 su-exec 在 runtime 切换用户 —— Go 程序不 fork，切换无意义，反而增加攻击面
基础镜像选 alpine 或 distroless，构建阶段用 CGO_ENABLED=0 静态编译，减少系统依赖

用 Go 调用 `trivy` 扫描镜像时最容易踩的坑

直接 exec.Command("trivy", "image", "...") 看似简单，但权限、缓存、超时、输出解析全可能出问题。

非 root 环境下，默认读 /var/run/docker.sock 会失败；应加 --skip-update --no-progress --timeout 300s，并手动执行 trivy image --download-db-only
缓存路径默认写 $HOME/.cache/trivy，若不可写会静默漏报；CI/CD 中必须设 TRIVY_CACHE_DIR=/tmp/trivy-cache
镜像名含特殊字符（如 @sha256:...）时，命令拼接易被注入；优先用 github.com/aquasecurity/trivy-go SDK，它处理了参数转义和版本兼容
trivy 发现漏洞时 exit code 是 1（不是 error），需结合 stdout JSON 和 stderr 判断；重点看 Vulnerabilities[].FixedVersion，而非仅 Severity
多阶段构建镜像中，trivy 默认扫描所有 layer，要过滤掉构建工具层（如 golang:alpine），否则误报率高