Go语言配置加密必须手动在字段级实现，因整文件加密会使viper等工具失效；base64非加密、md5不可逆，仅AES-GCM满足可逆+完整性校验；需对database.password等敏感路径值加密，密钥32字节、nonce每次随机12字节，解密后须bytes.Fill清空内存。
Go 语言本身不提供配置文件自动加解密能力，viper.ReadInConfig 或 yaml.Unmarshal 等函数读出来的永远是原始字节——加密必须手动介入，且只能在字段级做，整文件加密会直接让 viper、jq、helm template 失效。
为什么不能用 base64 或 md5 替代 AES-GCM
base64 是编码不是加密，base64.StdEncoding.EncodeToString([]byte("mypassword")) 输出可逆，日志一打、进程一 dump 就裸奔；md5 和 sha256 是单向摘要，无法还原，根本不能用于“存进去、取出来用”的场景。真正需要的是可逆 + 带完整性校验的对称加密，只有 cipher.NewGCM 同时满足，且标准库原生支持、已通过 FIPS 验证路径。
如何只加密 database.password 这类敏感字段
保留 YAML/TOML/JSON 明文结构，仅对特定键路径的值加密，才是真实项目中可落地的做法：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 加载配置后调用
viper.AllSettings()获取顶层map[string]interface{} - 递归遍历键路径，匹配预设敏感路径列表（如
["database.password", "redis.auth"]） - 对匹配到的字符串值，先检查是否含
ENC[AES-GCM]::前缀，再调用aesgcm.Open解密 -
viper.Set("database.password", decrypted)不生效：因为Set不支持嵌套路径，得先viper.Get("database")取出 map，再手动赋值
密钥和 nonce 必须严格按规则生成
算法本身不是瓶颈，真正容易出问题的是工程衔接点：
立即学习“go语言免费学习笔记（深入）”；
- 密钥必须是 32 字节（AES-256），禁用
[]byte("mykey")硬编码；生产环境推荐用pbkdf2.Key派生，带随机 salt 和 ≥100000 轮迭代 -
nonce固定 12 字节：make([]byte, aesgcm.NonceSize())，每次加密都必须rand.Read(nonce)新生成，绝不能复用 - 密文结构为
nonce + ciphertext + auth_tag（tag 固定 16 字节），存入配置前需base64.StdEncoding.EncodeToString编码成单行字符串 - 从环境变量读密钥时，若未
strings.TrimSpace或含不可见字符（如换行），会导致cipher.ErrAuthentication且无提示
最容易被忽略的是解密后明文留在内存里——如果业务要求高安全等级，别只靠 GC，得在使用后立即调用 bytes.Fill 清空切片。
