Garble通过-literals标志混淆字符串字面量，将明文敏感字符串（如API密钥）替换为运行时解密的复杂表达式，防止strings命令直接提取；该功能对-ldflags=-X注入的字符串同样有效，但不适用于go:embed和//go:build。
Go 语言里没有“权限混淆”这个概念——文件权限是操作系统层面的访问控制机制，和代码混淆完全无关。如果你在找的是“如何防止二进制中泄露敏感字符串（比如密码、密钥）”，那真正该做的是字符串字面量混淆，而不是对 os.Chmod 或 0600 做什么“混淆”。
混淆字符串字面量：用 garble -literals 替代明文硬编码
Go 编译后，所有字符串字面量（如 "postgres://user:pass@db"）会以明文形式留在二进制里，strings your_binary | grep postgres 就能直接捞出来。
-
garble build -literals ./cmd/myapp会把字符串转成运行时异或解密的表达式，比如decode([]byte{0x1a,0x3f,...}, 0x5c) - 它不改逻辑，只让静态扫描失效；解密函数本身也会被混淆（函数名变成
aBc1D2这类） - 注意：
-literals对go:embed和//go:build注释无效，这类内容得手动加密或移出源码 - 若用
-ldflags="-X main.APIKey=xxx"注入字符串，-literals同样生效——这是少数能保护注入字符串的方式
别信“混淆文件权限”的说法：权限值必须明确，不能“混淆”
像 0600、0644 是八进制权限掩码，不是密码，也不是可混淆的标识符。试图“混淆”它只会导致权限错乱。
- 写文件时必须用
os.WriteFile("key.pem", data, 0600)这种确定值，不能用变量或计算式替代——否则可能变成0000（全拒绝）或0777（全开放） -
umask会进一步影响最终权限，生产环境务必显式指定所需权限，不要依赖默认值 - Windows 上
os.Chmod只识别只读/可写语义，0755和0644效果一样，执行位被忽略——跨平台时别幻想靠权限位防读
混淆失败的典型信号：堆栈跟踪变乱码或 panic 信息消失
启用 -tiny 或 GARBLE_EXPERIMENTAL_CONTROLFLOW=1 后，如果日志里出现 runtime: failed to resume goroutine 或 panic 时堆栈只剩 ???，说明混淆过头了。
立即学习“go语言免费学习笔记（深入）”；
- 先禁用
-tiny和控制流混淆，只用-literals+ 标识符混淆，验证功能是否正常 - 导出方法（如
func (s *Service) ServeHTTP(...)）不会被重命名，这是故意的——接口实现必须保留原名 -
garble reverse能还原混淆后的堆栈行号，但前提是构建时没加-tiny（它会删掉位置信息） - CGO 包、插件、
unsafe相关代码容易出问题，这类模块建议排除在混淆范围外（用GOGARBLE=^github.com/xxx/cgo）
真正关键的不是“怎么混淆”，而是混淆后能否稳定运行——很多崩溃不是因为混淆本身，而是混淆掩盖了原本就存在的竞态或越界访问。上线前务必在相同 OS/Arch 环境下跑完整集成测试，别只看单元测试绿了就发版。
