直接用 goroutine 无法实现真正任务隔离，因其共享进程内存、全局状态和运行时环境，易导致日志污染、HTTP 超时篡改、随机数序列破坏或 panic 崩溃整个服务；必须通过独立进程（如 exec.CommandContext）实现系统调用、运行时及可观测行为三重隔离。
为什么直接用 goroutine 无法实现真正的任务执行隔离
goroutine 是 Go 的轻量级线程，但共享进程内存空间和全局状态（如 os.Stdout、http.DefaultClient、time.Now() 返回值、甚至 rand 的默认源），一个恶意或出错的任务可能覆盖日志输出、篡改全局 HTTP 超时、污染随机数序列，甚至通过 panic 导致整个服务崩溃。这不是并发问题，而是执行环境失控。
真正隔离必须切断三类依赖：
- 系统调用层面：不能让任务随意读写文件、网络、环境变量
- Go 运行时层面：不能共享
init函数副作用、包级变量、全局 map/slice 引用 - 时间/随机数等可观测行为：需可控、可重放
用 exec.CommandContext 启动独立进程是最简单可靠的沙箱方案
别试图在单个 Go 进程里“模拟”隔离——成本高、漏洞多、维护难。直接 fork 新进程，天然拥有独立地址空间、文件描述符、环境变量和信号空间。
实操要点：
立即学习“go语言免费学习笔记（深入）”；
- 始终使用
exec.CommandContext并传入带超时的context.Context，防止子进程卡死 - 显式设置
cmd.Env，清空或白名单环境变量（如只保留GOPATH、PATH），避免泄露宿主敏感信息 - 用
cmd.Dir指定工作目录，并提前创建干净临时目录（os.MkdirTemp），禁止访问父目录 - 重定向
cmd.Stdin、cmd.Stdout、cmd.Stderr到bytes.Buffer或文件，避免干扰主进程日志流 - 限制资源：Linux 下可通过
syscall.Setrlimit设置RLIMIT_AS（地址空间）、RLIMIT_CPU；macOS 需用launchctl或 cgroup v2（需 root）
示例关键片段：
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
ctx, cancel := context.WithTimeout(context.Background(), 5*time.Second)
defer cancel()
cmd := exec.CommandContext(ctx, "./user_task")
cmd.Dir = tempDir
cmd.Env = []string{"PATH=/usr/bin:/bin"} // 严格控制 PATH
var outBuf, errBuf bytes.Buffer
cmd.Stdout, cmd.Stderr = &outBuf, &errBuf
err := cmd.Run()
if ctx.Err() == context.DeadlineExceeded {
// 处理超时，cmd.Process.Kill() 已由 CommandContext 自动触发
}
如何安全地编译并运行用户提交的 Go 代码
允许用户上传 .go 文件并执行，是典型沙箱场景。不能直接 go run，因为会复用宿主 $GOPATH 和模块缓存，且编译器本身可能被利用（如通过 //go:linkname 绕过限制）。
安全做法：
- 为每次任务创建全新、空的
GOPATH和GO111MODULE=on环境，强制使用 vendored 依赖或 deny network fetch - 禁用不安全构建标志：
-gcflags="-l" -ldflags="-s -w"可跳过链接器校验，需在白名单中显式排除 - 编译后立即运行二进制，不保留可执行文件；运行前用
os.Stat校验文件权限（必须为0500或更低） - 若需支持
import，只允许导入标准库（通过go list std预生成白名单），禁止任何第三方模块
注意：go build -toolexec 可拦截编译过程，但增加复杂度；生产环境更推荐预编译白名单内的模板程序，用户仅提供参数或数据。
容器化沙箱（Docker）不是银弹，要避开这些坑
用 docker run --rm --memory=64m --cpus=0.2 --network=none 看似完美，但实际落地常踩坑：
- 镜像体积大：基础
golang:alpine镜像 100MB+，冷启动慢；应构建极简镜像（FROM scratch+ 静态编译二进制） - 权限残留：默认以 root 运行，需加
--user=1001:1001并提前在镜像中创建非特权用户 - seccomp/AppArmor 规则未启用：Linux 默认允许大量系统调用，必须挂载自定义 seccomp profile（禁用
ptrace、mount、setuid等） - Docker daemon 本身是攻击面：避免将 socket 挂载进 Web 服务容器；改用 rootless Docker 或
podman替代
如果只是隔离单个 Go 任务，进程级沙箱 + 资源限制已足够；只有当需要强依赖隔离（如不同版本 Go、C 库）或跨语言支持时，才值得引入容器。
最易被忽略的是：无论用进程还是容器，都必须对输入代码做静态扫描——禁止出现 import "unsafe"、reflect.Value.Call、syscall.Syscall 等高危模式，这步不能靠运行时限制补救。
