cmd.Process.Kill()杀不干净子进程的根本原因是未设置进程组隔离，导致仅终止shell父进程而子进程变为孤儿；需显式配置SysProcAttr.Setpgid或CREATE_NEW_PROCESS_GROUP，并用负pgid发信号。
直接用 os/exec.Cmd 启动子进程不难，但多数人一关就漏掉进程组、信号发错对象、不等回收——结果是 cmd.Process.Kill() 只杀了个壳，sleep 还在后台跑，Wait() 不调就堆僵尸进程。
为什么 cmd.Process.Kill() 杀不干净子命令
根本原因是没设进程组隔离。比如执行 exec.Command("sh", "-c", "sleep 100")，sh 是主进程，sleep 是它的子进程；cmd.Process.Kill() 只向 sh 发 SIGKILL，sh 一死，sleep 就变成孤儿进程继续运行。
必须显式开启进程组：
- Linux/macOS：
cmd.SysProcAttr = &syscall.SysProcAttr{Setpgid: true} - Windows：
cmd.SysProcAttr = &syscall.SysProcAttr{CreationFlags: syscall.CREATE_NEW_PROCESS_GROUP}
设完之后，才能用 syscall.Kill(-pgid, syscall.SIGTERM)（注意负号）向整个组发信号。
立即学习“go语言免费学习笔记（深入）”；
怎么发 SIGTERM 才算“优雅停止”
cmd.Process.Signal(syscall.SIGTERM) 是正确起点，但它只发信号，不等退出。真要“优雅”，得组合三步：
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 先发
SIGTERM，给子进程机会做清理（比如关闭 listener、刷缓存） - 用
time.AfterFunc或select等 3–5 秒 - 若没退出，再发
SIGKILL强杀
特别注意：Windows 完全不认 SIGTERM，直接调会 panic。得分支处理：
if runtime.GOOS == "windows" {
// 用 taskkill /PID %d /T /F 杀整个树
exec.Command("taskkill", "/PID", strconv.Itoa(cmd.Process.Pid), "/T", "/F").Run()
} else {
syscall.Kill(-pgid, syscall.SIGTERM)
}
Wait() 不调，几分钟就满屏僵尸进程
Go 不自动 wait 子进程，cmd.Start() 后如果不调 cmd.Wait() 或 cmd.Process.Wait()，子进程退出后内核就留着它的 exit status，变成僵尸。循环启停场景下，几轮下来 ps aux | grep defunct 就能看见一堆 [sleep] <defunct>。
安全做法是：
- 启动后立刻起 goroutine 异步
Wait()，用 channel 通知结束 - 如果重定向了
StdoutPipe()或StderrPipe()，务必在Wait()前 close 对应 pipe，否则可能死锁 - 别用
cmd.Run()——它阻塞且错误时cmd.Process可能为nil，后续没法发信号
跨平台信号与用户权限的坑
想以指定用户启动子进程（比如非 root 运行 PHP 脚本），不能只靠 shell 切换——得用 os.ProcAttr.Sys.Credential 设置 UID/GID，但这个字段在 Windows 下无效（返回 -1），且需要父进程有 CAP_SETUIDS 权限（Linux）或 SeAssignPrimaryTokenPrivilege（Windows）。
更现实的兼容路径是：
- Linux：用
syscall.SysProcAttr{Credential: &syscall.Credential{Uid: 1001, Gid: 1001}} - Windows：改用
cmd.SysProcAttr.HideWindow = true隐藏窗口，用户权限靠服务账户或 manifest 文件控制 - 一律避免在代码里硬写
su -u www-data -c "php ..."，shell 解析不可控，参数注入风险高
进程管理真正的复杂点不在启动，而在“谁来等它、等多久、怎么确认它真死了、死前干了什么”。信号发给谁、是否成组、是否异步回收、平台差异——这些细节漏一个，ps aux 里就多一个幽灵进程。
