Go源码不能加密混淆，真正安全的字符串保护是garble build -literals编译时加密字面量；配置文件需AES-GCM解密后交给viper；XOR不是加密且易被破解；密钥管理比混淆更重要。
Go 文件内容不能“加密混淆”——混淆和加密是两回事，混用会出事。源码文件（.go）本身不支持运行时解密，所谓“混淆”只发生在编译前（如重命名符号）或编译期（如字符串加密），而“加密”必须作用于二进制或配置文件等运行时可读数据。强行对 .go 文件做 XOR 或 AES，只会让编译失败或产生不可维护的垃圾。
混淆 Go 源码：用 garble -literals 而不是改文件内容
真正安全、可落地的字符串保护方式，是 garble build -literals。它不碰源码文件本身，而是在编译过程中把字符串字面量（比如 "api_key"、"https://internal"）加密成密文常量，运行时再解密到内存。
- 必须用
garble build，不能先garble再go build—— 后者绕过加密逻辑，字符串仍明文 -
-literals不影响语法，不破坏TestXXX函数名、CGO 导出符号或 IDE 补全（因为源码没变） - 全局
const key = "xxx"不会被处理，得手动改成var key string+ 初始化函数 - CI 中要复现结果，必须加
-seed=12345，否则每次生成的加密逻辑不同
加密配置文件：AES-GCM 解密后才能喂给 viper 或 json
配置文件（config.yaml、settings.json）是典型的“需加密内容”，但它必须先解密，再交给解析器。viper 不认识密文，viper.ReadInConfig() 直接读加密文件会报 invalid character '\x00' looking for beginning of value 这类错误。
- 密文格式必须包含三段：
nonce（通常 12 字节前置）、密文主体、认证标签（末尾 16 字节） - key 必须是 32 字节（AES-256），严禁硬编码；推荐从
os.Getenv("CONFIG_KEY_BASE64")解码获取 - 解密后得到明文
[]byte，再调用viper.ReadConfig(bytes.NewReader(decrypted)) - 别写 wrapper 函数 patch
viper.ReadInConfig—— 它内部有缓存和重载逻辑，patch 后容易漏 reload 或 panic
别用 XOR 对文件内容做“混淆”
XOR 不是加密，只是位掩码。用它处理 Go 源文件或配置文件，等于裸奔。
立即学习“go语言免费学习笔记（深入）”；
- 单字节密钥（如
[]byte{0x42}）等价于凯撒密码，xxd file.enc | head就能肉眼识别出%PDF或PK\x03\x04 - 若误用
string(fileBytes)再 XOR，非法 UTF-8 字节会被静默转成\uFFFD，解密后文件损坏 - 真要 XOR，必须全程操作
[]byte，密钥也用[]byte，并用key[i%len(key)]循环异或 - 超大文件（>1GB）别
ioutil.ReadFile一次性加载——用bufio.Reader分块读取 + 分块异或 + 分块写入
最易被忽略的一点：混淆和加密都解决不了密钥管理问题。无论 garble -seed 还是 AES key，一旦泄露，整个防护就归零。记录 -seed 值、key 获取路径、Go 版本，比纠结“怎么混淆更彻底”重要得多。
