garble build -literals 是唯一推荐的字符串字面量保护方式，它在编译期加密字符串常量，运行时解密到内存，使 strings 命令无法直接提取敏感信息，且必须配合 -seed 参数确保可审计性。
Go语言里没有“简单加密混淆”这种安全可行的混合操作——混淆和加密是不同层级、不同目的、不同风险的事，混着用反而让数据更脆弱。
garble build -literals 是唯一推荐的字符串字面量保护方式
它不改源码，只在编译期把 "api_key"、"https://internal" 这类字符串加密成密文常量，运行时再解密到内存。效果直接：strings your_binary | grep "api_key" 混淆前能搜到，混淆后为空或乱码。
- 必须用
garble build -literals，不能先garble再go build—— 后者完全绕过加密逻辑 -
const key = "xxx"不会被处理，得手动改成var key string+ 初始化函数 - CI 中要复现结果，必须加
-seed=12345，否则每次生成的加密逻辑不同，无法审计 - 对
-ldflags="-X main.Token=xxx"注入的字符串也生效，这是少数能保护注入字符串的方式
配置文件加密必须走 AES-GCM，且解密后才能喂给 viper
配置文件（如 config.yaml）不是源码，可以且应该加密，但 viper 不认识密文：viper.ReadInConfig() 直接读加密文件会报 invalid character '\x00' looking for beginning of value。
Go语言（Golang）1.26.0
下载
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
- 密文格式必须包含三段：12 字节
nonce（前置）、密文主体、16 字节auth tag（末尾） - 密钥必须是 32 字节（AES-256），严禁硬编码；推荐从环境变量 base64 解码获取：
base64.StdEncoding.DecodeString(os.Getenv("AES_KEY")) - 解密后得到明文
[]byte，再调用viper.ReadConfig(bytes.NewReader(decrypted)) - 别写 wrapper 函数 patch
viper.ReadInConfig—— 它内部有缓存和重载逻辑，patch 后容易漏 reload 或 panic
XOR 不是加密，仅适合临时掩码，且必须全程操作 []byte
常见错误现象：xxd file.enc | head 仍能看到 %PDF 或 PK\x03\x04；解密后文件损坏，尤其含二进制数据时。
- XOR 是线性、可逆、无扩散的位运算，攻击者只要拿到一段明文（比如 ZIP 头）+ 对应密文，立刻反推密钥片段
- 密钥若短于文件（如单字节
[]byte{0x42}），会暴露周期性，等价于凯撒密码 - Go 中
string隐含 UTF-8 语义，直接把[]byte转string再 XOR，非法字节会被静默替换成\uFFFD，解密后不可恢复 - 真要用，必须全程操作
[]byte：用key[i%len(key)]循环异或，超大文件（>1GB）禁用ioutil.ReadFile，改用bufio.Reader分块处理
最易被忽略的一点：无论用哪种方式，密钥管理永远比混淆或加密本身更关键——没管好密钥，所有操作都是徒劳。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
