Go语言不支持配置文件自动加解密，必须手动集成crypto/aes与cipher.NewGCM；仅加密敏感字段（如database.password），密文结构为12字节nonce+密文+16字节tag，base64编码后存入YAML/TOML/JSON，密钥须从环境变量或KMS加载且不可硬编码。
Go 语言本身不提供配置文件自动加解密能力，所有加密逻辑必须手动集成 crypto/aes + cipher.NewGCM。用 base64 或 md5 替代加密是常见误操作，前者可逆、后者不可逆，都不满足“存进去、取出来用”的基本需求。
为什么不能直接加密整个配置文件
整文件加密会破坏工具链兼容性：viper 无法正常 UnmarshalKey，jq 解析失败，helm template 报错，连 git diff 都看不出密码是否被修改。真实项目中应只加密字段值，例如 database.password、api.token，其余结构保持明文可读。
- 加密后仍需支持 YAML/TOML/JSON 格式解析，所以密文必须是合法字符串（推荐
base64编码） - 密文结构为
nonce + ciphertext + auth_tag（GCM 固定 12 字节 nonce + 16 字节 tag），直接写二进制字节会导致解析器截断或 panic - 若用
viper，viper.Set("database.password", ...)不生效——它不支持嵌套路径写入，得先viper.Get("database")取出 map 再手动赋值
如何用 AES-GCM 加密单个敏感字段值
字段级加密是唯一可落地的方案。密钥不能硬编码，nonce 必须每次随机生成且绝不复用，否则 GCM 安全性崩塌。
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 密钥长度必须为 32 字节（AES-256），建议用
sha256.Sum256([]byte(os.Getenv("CONFIG_KEY"))).Sum(nil)[:32]派生，避免直接[]byte("xxx")导致长度错误 - nonce 固定 12 字节：
nonce := make([]byte, 12)，用rand.Read(nonce[:])填充（注意检查 error） - 加密输出是
nonce + ciphertext + auth_tag，再经base64.StdEncoding.EncodeToString转成单行字符串，存入配置文件对应字段，如：ENC[AES-GCM]::YmFzZTY0LWVuY29kZWQtc3RyaW5n - 不要在
viper.ReadInConfig()过程中 hook 文件读取器——这会绕过字段定位逻辑，应在加载完成后调用viper.AllSettings()获取顶层map[string]interface{}，再递归匹配敏感键路径
解密失败时为什么不能忽略 error
aesgcm.Open 认证失败不会 panic，而是返回 cipher.ErrAuthentication 或 cipher.ErrInvalidLength。若忽略 error 直接使用返回切片，可能拿到乱码、部分解密内容，甚至看似“成功”但实际已篡改的数据。
立即学习“go语言免费学习笔记（深入）”；
- 必须显式判断
if err != nil，且不要在日志中打印完整 error（可能泄露密钥错误等侧信道信息） - 解密成功后，明文密码留在内存中；如需更高安全等级，应在业务逻辑使用后立即调用
bytes.Fill(decrypted, 0)清空 - 若结构体用
mapstructure.Decode到 struct，目标字段必须是*string或实现UnmarshalText接口，否则解密逻辑无法介入反序列化过程 - 环境变量读取密钥时，务必
strings.TrimSpace，不可见字符（如换行符）会导致cipher.ErrAuthentication且无提示
真正容易出问题的不是算法本身，而是密钥派生方式、nonce 生成时机、error 处理粒度和 viper 的嵌套写入限制——这些工程衔接点一旦出错，解密失败往往只表现为静默乱码或连接拒绝，很难定位到根源。
