必须用组合策略切断所有泄露路径：godotenv限域加载、os.lookupenv显式校验、//+build secure编译期隔离、结构体json:"-"脱敏、internal目录约束import范围——缺一不可。
不能靠“藏起来”实现屏蔽，必须用组合策略切断所有泄露路径：godotenv 限域加载、os.LookupEnv 显式校验、// +build secure 编译期隔离、结构体字段 json:"-" + 自定义 MarshalLogObject 脱敏、internal 目录约束 import 范围——缺一不可。
godotenv 只能在 main 或 cmd 包中调用
把 godotenv.Load() 放进 pkg 或 internal 会导致测试或 CI 构建时意外触发，敏感逻辑可能被间接引用进非预期上下文。本地开发时，只在 main.go 或 cmd/server/main.go 里执行一次加载。
-
.env文件必须加入.gitignore，连私有仓库也不能提交 - 提供
.env.example，内容仅含变量名和注释，如API_KEY=your_api_key_here # ← 留空或填占位符 - CI 环境（GitHub Actions / GitLab CI / K8s）禁用
.env，改用平台原生 secrets 注入
用 os.LookupEnv 替代 os.Getenv 做启动前校验
os.Getenv("DB_PASSWORD") 在变量未设时返回空字符串，极易掩盖配置缺失；而 os.LookupEnv 返回 (string, bool)，能立刻暴露问题。
- 校验模式固定为：
if pwd, ok := os.LookupEnv("DB_PASSWORD"); !ok { log.Fatal("missing DB_PASSWORD") } - 所有关键密钥字段（
JWT_SECRET、AWS_ACCESS_KEY_ID、DB_PASSWORD）都需逐个校验 - 禁止 fallback 到默认值，如
os.Getenv("API_KEY") || "dev-key"—— 若需测试值，必须明确标识，例如"test-only-api-key-123"
敏感字段 JSON 和日志输出必须主动脱敏
Go 不会自动识别密码字段，fmt.Printf("%+v", cfg) 或 log.Println(cfg) 会直接打印明文。脱敏必须发生在序列化/记录前，而非事后替换字符串。
- 结构体中敏感字段加
json:"-"标签，或通过字段遮蔽覆盖嵌入结构体（如嵌入gorm.Model时重定义DeletedAt字段并标json:"-"） - 用
zapcore.ObjectMarshaler实现自定义序列化，例如func (u User) MarshalLogObject(enc zapcore.ObjectEncoder) error { enc.AddString("password", "[redacted]") } - 避免对日志字符串做正则替换——会误杀 URL 参数或键名，且无法处理嵌套结构
// +build secure 控制硬编码密钥是否编译进二进制
构建标签不是可选项，而是编译期防火墙。默认构建（go build）应完全跳过密钥加载逻辑，生产构建才启用。
- 新建文件
security_init.go，顶部写// +build secure，包名仍为main - 该文件内只放证书加载、签名验证、嵌入密钥读取等敏感初始化逻辑
- CI 流水线用
go build -tags secure构建生产镜像，且该命令必须限定在可信阶段执行（如 release 分支 + 手动审批） - 本地开发默认不带
-tags secure，确保二进制不含任何密钥相关代码
真正麻烦的不是某一处漏掉，而是多个环节松动叠加：比如 .env 被误提交、os.Getenv 掩盖了缺失、日志打出了完整结构体、又没加构建标签——四点全破，密钥就裸奔了。每个环节都得卡死，没有“差不多”。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
