envfrom.secretref不安全，因环境变量明文暴露于ps、/proc/[pid]/environ及kubectl exec中；而secret挂载为文件可设0440权限并由主进程独读，更安全。
直接挂载 Secret 文件比注入环境变量更安全，且必须设权限 0440。
为什么不能用 envFrom 注入 Secret
envFrom 会让所有同用户进程共享明文——ps aux、/proc/[pid]/environ、kubectl exec -it pod -- env 全都能直接看到。Kubernetes 不会对环境变量做任何访问控制，它本质是 Linux 进程的“共享内存”。
- Secret 挂载为文件后，可设
fsGroup和runAsUser，配合0440权限限制仅容器主进程可读 - 环境变量一旦被注入，就无法回收或擦除；而文件读取是一次性行为，Go 可用
os.ReadFile读完即弃 - viper 等库默认不支持从文件路径动态加载 Secret，硬塞进
os.Getenv会绕过所有脱敏逻辑
Secret 挂载路径与 Go 读取方式
K8s Secret 推荐挂载到固定路径（如 /etc/secrets/db/password），Go 应用用 os.ReadFile 读取，而不是解析 YAML 或 base64。
- 挂载时显式指定
mode: 0440，避免默认 0644 导致组用户可读 - 本地开发用相同路径模拟，比如
./secrets/db/password，由make secrets生成，不提交 Git - 读取后立即校验长度：
if len(b) == 0，避免空密码静默通过 - 绝不能打印
len(b)或内容本身——log.Printf("pwd len: %d", len(b))可能构成侧信道
如何避免解密逻辑污染业务代码
敏感字段（如 database.password）应单独 AES-GCM 加密，而非整配置文件加密。解密必须在配置加载早期完成，且密钥严禁硬编码。
- 密钥从 KMS（AWS KMS/Vault）或权限为
0600的文件加载，绝不写死在代码里 - nonce 固定 12 字节，用
rand.Read(nonce)生成，不用时间戳或计数器 - 密文格式为
nonce + ciphertext + authTag，解密前先拆出前 12 字节作 nonce - 解密失败统一返回 HTTP 400，不区分是密钥错、nonce 错还是数据损坏，防止信息泄露
结构体字段脱敏不能靠 unexported 或日志替换
小写字段（如 password string）在本包内 fmt.Println 仍会输出明文；panic 日志、debug 打印、甚至堆栈都可能带出值。脱敏必须发生在值被业务代码拿到之前。
- 用
mapstructure.DecodeHookFunc在解码阶段拦截，匹配字段名password/secret/token后直接返回"[REDACTED]" - 避免用
strings.ReplaceAll扫 config 字符串——会误杀api_key_ttl这类非敏感字段 - 实现
fmt.Formatter和slog.LogValue，确保任意日志输出、反射打印、panic 堆栈都不暴露原始值 - 注意：viper.Unmarshal() 后再反射遍历已丢失类型信息，无法区分
int64token 和真实字符串
最易被忽略的一点：Secret 挂载文件的权限和读取时机必须严格对齐——哪怕路径对了、内容对了，若容器以 root 运行且没设 runAsNonRoot: true，或挂载时漏掉 mode: 0440，整个防护就形同虚设。
