防篡改需编译时锁定与运行时校验双保险：必须cgo_enabled=0静态编译或musl-gcc交叉编译，配合cosign签名、只读容器、严格权限及原子化checksum校验。
直接上结论：防篡改不是加个 checksum 就完事，而是要分「编译时锁定」+「运行时校验」两层动作，漏掉任何一层，攻击者都能 patch 二进制或绕过验证。
静态编译必须显式关 CGO，否则根本没防住
很多人以为 go build 出来就是静态二进制，其实默认会动态链接 libc —— 这意味着只要替换 /lib64/libc.so.6，就能劫持所有系统调用。真正的静态编译只有一条命令：
CGO_ENABLED=0 go build -o myapp main.go
-
file myapp必须输出statically linked，不能有dynamically linked -
ldd myapp必须返回not a dynamic executable，而非列出一堆 .so - 副作用真实存在：
user.Current()会 panic，生产环境应改用os.Getenv("USER")或固定 UID/GID 启动 - 若必须用 cgo（如 pgx、sqlite3），就得换 musl 工具链：
CGO_ENABLED=1 CC=musl-gcc go build -ldflags '-linkmode external -extldflags "-static"' -o myapp main.go，且ldd myapp不能出现libc.musl-x86_64.so.1
cosign 签名不是可选项，是上线前必跑步骤
静态编译只是让二进制“难改”，但不阻止它被改。真正防篡改得靠签名验证——把哈希绑定到密钥，让修改后无法通过 cosign verify。
Golang Google Wire
下载
在 Go 中使用 google/wire 实现编译时依赖注入——wire.NewSet、wire.Build、wire.Bind（接口→实现）、wire.Struct、wire.Value、wire.Interface
- 签名命令：
cosign sign --key cosign.key ./myapp，密钥必须离线保管，绝不可嵌入 CI 脚本 - 容器启动前强制校验：
cosign verify --key cosign.pub ./myapp，失败则 exit 1 - 别用自签名证书或本地 keypair 做验证，必须用
cosign generate-key-pair生成的专用密钥对 - 校验逻辑建议放在 entrypoint.sh 里，而不是 Go 程序内 —— 防止攻击者 patch 掉校验分支
运行时 checksum 校验要避开三个坑
有人把 checksum 写进 Go 代码里硬编码，或者每次启动都重算全量 SHA256 —— 这两种做法都会被绕过或拖慢启动。
- checksum 文件必须和二进制物理分离，权限设为
0400，且最好放在不同挂载点（如/etc/myapp/app.checksum） - 校验逻辑用独立 goroutine 加载，避免阻塞主流程；首次校验失败应 panic，不给降级机会
- 别用
os.ReadFile读大文件 —— 会 OOM；正确姿势是f, _ := os.Open("./myapp"); defer f.Close(); hash := sha256.New(); io.Copy(hash, f) - 对比时用
bytes.Equal(sum1[:], sum2[:])，不用字符串 ==，避免 hex 编码大小写/空格干扰
最常被忽略的是：checksum 文件本身没设 append-only 属性。攻击者拿到 root 权限后，第一件事就是 echo "fake" > app.checksum。所以部署后必须立刻执行 chattr +a /etc/myapp/app.checksum —— 连 root 都只能追加，不能覆盖。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
