golang不自动防漏洞，安全依赖开发者在输入、查询、输出、依赖、并发五环节正确实践：sql须参数化、html输出用html/template、json响应用json.marshal、依赖漏洞需govulncheck -test全覆盖、csrf需前后端协同验证。

直接说结论：Golang本身不自动防漏洞，安全靠开发者在输入、查询、输出、依赖、并发五个关键环节做对事。标准库提供了足够工具，但用错或不用，照样被攻破。

database/sql参数化查询必须用QueryRow/Query/Exec的变参形式，不能拼SQL

常见错误是把用户输入塞进fmt.Sprintf或字符串拼接里构造SQL，比如"SELECT * FROM users WHERE name = '" + name + "'"——这等于给攻击者开了数据库后门。

正确做法是让database/sql驱动自己处理绑定：

• db.QueryRow("SELECT id FROM users WHERE username = ?", username) —— 问号占位，值走参数传入
• 预编译语句更稳妥：stmt, _ := db.Prepare("UPDATE accounts SET balance = ? WHERE id = ?")，复用时只传数据，结构完全隔离
• 别信“我只查数字ID”，哪怕id是int类型，也要从r.FormValue转来，它本质仍是字符串，未经校验仍可能被绕过

html/template是XSS防护底线，text/template不能用于HTML上下文

很多团队误以为“用了template就安全了”，结果用text/template渲染HTML页面，导致{{.Name}}里的<script></script>原样输出——这是典型反射型XSS。

必须明确：

Golang Spf13 Viper

Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。

下载

• 所有HTML页面输出一律用html/template，它默认对、<code>>、"、'、&做实体转义
• 富文本场景（如文章编辑）需白名单过滤，用bluemonday.UGCPolicy().Sanitize(dirty)，而不是关闭转义或用template.HTML强转
• API响应若返回JSON，别用html/template，而应设w.Header().Set("Content-Type", "application/json; charset=utf-8")并用json.Marshal，避免模板引擎干扰

govulncheck -test不是可选项，是检测间接依赖漏洞的强制动作

只跑govulncheck ./会漏掉超过60%的真实风险。像golang.org/x/net、github.com/gorilla/sessions这类包，往往不被主模块直接import，而是通过indirect方式引入——它们可能带CVE但不会出现在./扫描路径里。

CI中必须执行两遍：

• govulncheck ./ —— 覆盖主业务链路
• govulncheck -test ./ —— 覆盖测试代码触发的依赖图，常暴露被忽略的HTTP客户端、加密工具链等高危模块
• 配合go list -m all | grep -E "(golang\.org/x|github\.com/.*crypto)"人工盯包，尤其检查是否含// indirect标记及引入方

CSRF防护不能只靠中间件，token必须随表单提交且服务端验证

启用gorilla/csrf中间件只是第一步。如果前端没把csrf.Token(r)塞进隐藏字段，或没在AJAX请求头里加X-CSRF-Token，中间件根本收不到token，等于形同虚设。

实操要点：

• HTML表单里必须显式插入：<input type="hidden" name="csrf_token" value="{{.CSRFToken}}">（使用html/template传入）
• API调用需前端读取cookie或header中的token，并在fetch或axios中手动携带X-CSRF-Token
• 敏感操作（如密码修改、权限变更）建议叠加二次确认，比如要求当前用户再输一次密码，不单靠token

真正容易被忽略的是：安全不是“加个中间件”或“换一个函数”的一次性动作。比如go mod verify必须在CI第一行强制运行，否则go.sum校验可能被代理劫持；又比如html.EscapeString只适合零星字符串转义，绝不能替代html/template的上下文感知机制。每个环节都得抠细节，少一环，防线就断。

golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！