go语言中不存在“动态加密中间件”，http中间件无法处理字段级加密，真正加密应在数据入库前（如gorm beforecreate）或配置加载时（viper.unmarshal后），且必须使用aes-gcm对标注secure tag的字段加密，密钥严禁硬编码。
GoLand 里写动态加密中间件？先别动——中间件不是加密入口
Go 里没有“动态加密中间件”这种东西。HTTP 中间件（比如 gin.HandlerFunc）拿到的是 *http.Request 和 http.ResponseWriter，它既看不到结构体字段语义，也改不了数据库写入前的原始值。你试图在中间件里对 POST /user 的 body 做 AES 加密，结果只会：要么加密失败 panic（没处理 time.Time 或 sql.NullString），要么把 JSON key 名、URL、数字全干掉。
真正该加密的地方只有两个：数据入库前（如 ORM Save 前）、配置加载时（如 viper.Unmarshal 后立即解密）。中间件只适合做响应脱敏，不是存储加密。
- 如果你用 GORM，加密逻辑必须塞进
BeforeCreatecallback，且只对标记了secure:"phone"的字段调用aesGCM.Encrypt - 如果你用 sqlx 或原生
database/sql，得在构造INSERT参数前手动调用解密/加密函数，不能依赖反射自动扫字段 - GoLand 调试时，别在中间件断点里打印
req.Body全量内容——body 是io.ReadCloser，读一次就 EOF，后续 handler 拿不到数据
struct tag 是唯一靠谱的字段标识方式，别用注释或配置文件
想让 Go 知道哪个字段要加密，只能靠 struct tag，比如 Phone string `json:"phone" secure:"phone,mask:7"`。GoLand 支持 tag 高亮和跳转，但不会帮你校验 tag 是否拼错——seure:"phone" 这种 typo 会直接导致字段漏加密。
反射读 tag 时必须检查可导出性：if !field.CanInterface() { continue }，否则小写字母开头的字段（如 password string）会 panic；指针字段（如 *Profile）要提前判空，不然 field.Interface().(*Profile).Phone 直接 nil panic。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 嵌套结构体的 tag 不会自动继承，
User.Profile.Phone要在Profile结构体里单独打secure:"phone" - 别用 YAML 注释（
# encrypt: true）或外部 JSON 配置管理规则——编译期零校验，重构字段名时根本不同步 - GoLand 的 “Find Usages” 对 tag 无效，建议用
go:generate工具扫描 tag 并生成静态加密方法，避免 runtime 反射
加密实现必须用 crypto/aes + GCM，别手搓 CBC 或 base64
crypto/aes 标准库不提供开箱即用的加解密函数，所有逻辑都得自己写。用 gobase64 或 hex.EncodeToString 当“加密”，等于把密码写在便利贴上——Base64 不是加密，只是编码；CBC 模式若 IV 重用或没配 HMAC，密文可被篡改。
AES-GCM 是目前最稳妥的选择：一次调用完成加密+认证，且 Go 标准库 crypto/cipher.NewGCM 已封装好边界检查。Nonce 必须随机生成且固定 12 字节：nonce := make([]byte, 12); rand.Read(nonce)，绝不能用时间戳或递增计数器。
- 密文存储格式严格为：
nonce(12) + ciphertext + authTag(16)，解密时先拆出前 12 字节作 nonce - 密钥严禁硬编码，GoLand 的 “Find in Path” 能搜出所有
"my-secret-key"，但搜不出从os.Getenv("KEY_PATH")读取的文件路径——后者才是正确姿势 - 解密失败统一返回
http.StatusBadRequest，不暴露是密钥错、nonce 错还是数据损坏，防止侧信道攻击
GoLand 调试时最容易忽略的三件事
你在 GoLand 里打断点看加密结果，很容易误判逻辑是否生效。真实服务中，以下三点几乎必踩坑：
- 日志打印结构体时没实现
String()或MarshalLogObject，fmt.Printf("%+v", user)会把明文密码打满控制台——GoLand 的 Console 日志默认不折叠，敏感信息一眼可见 - HTTP 响应头里写了
X-Debug: true，结果把加密后的密文以明文形式返回给前端（比如{"token": "gcm-ciphertext..."}），前端 JS 里一 console 就全暴露 - 本地开发用
.env文件加载密钥，但 GoLand 默认开启 “Include system environment variables”，导致os.Getenv("KEY_PATH")实际读的是系统环境变量而非文件路径，加密密钥错乱
加密不是加个中间件就能完事的事。它必须在数据生命周期每个出口（DB 写入、日志输出、HTTP 响应、配置加载）分别控制，且每个环节的实现机制完全不同——中间件管不了存储，MarshalJSON 管不了日志，mapstructure.DecodeHookFunc 管不了数据库。漏掉任何一个，就等于在防线上凿了个洞。
