Go中配置文件只能加密敏感字段而非整文件，因整文件加密会使YAML解析器报错、CI/CD失效；须用AES-GCM对database.password等键值单独加密，密钥从环境变量安全派生，解密后手动注入viper内存结构并及时清空明文。
Go 没有内置配置文件加密能力，viper.ReadInConfig 读出来的永远是明文；数据库密码这类字段必须在加载完成后、业务使用前，用 cipher.NewGCM 单独解密，且密钥绝不能写死在代码里。
为什么不能对整个 config.yaml 文件 AES 加密
整文件加密会让 viper、jq、helm template 全部失效：YAML 解析器直接报错，CI/CD 流水线 diff 不出密码变更，运维连格式校验都做不了。更实际的问题是——你无法再用 viper.GetString("database.password")，因为整个文件已变成二进制乱码。
- 只加密
database.password、redis.auth这类键路径的值，其余保持明文 - 加密后密文存为字符串，如
ENC[AES-GCM]::base64-encoded-nonce-ciphertext-tag - YAML/TOML/JSON 都支持这种“明文结构 + 密文字段”混排
如何用 crypto/aes + cipher.NewGCM 加密单个 password 字段
必须用 AES-GCM（不是 CBC 或 base64），它同时保证机密性与完整性；密钥长度必须是 32 字节，nonce 必须每次随机生成 12 字节，且不可复用。
- 密钥从环境变量读取：
os.Getenv("ENCRYPTION_KEY")，再用sha256.Sum256取前 32 字节，或更安全地用pbkdf2.Key派生 - nonce 固定调用
crypto/rand.Read(nonce[:])生成，长度为aesgcm.NonceSize()（即 12） - 加密输出是
nonce + ciphertext + auth tag（共 12 + N + 16 字节），必须base64.StdEncoding.EncodeToString后再写入 YAML 字段 - 强烈建议加前缀标识，如
ENC[AES-GCM]::，方便解密时快速识别和跳过非密文字段
viper 加载后怎么安全解密并注入内存结构
不能在 os.ReadFile 后立刻解密原始字节流，也不能 hook viper.ReadInConfig 的文件读取器——这会破坏类型推导，且 viper.Set("database.password", ...) 对嵌套路径根本无效。
立即学习“go语言免费学习笔记（深入）”；
- 先调用
viper.ReadInConfig()完成加载 - 用
viper.AllSettings()获取顶层map[string]interface{} - 递归遍历键路径，匹配预设敏感列表（如
["database.password", "api.token"]） - 对匹配到的字符串值，检查是否含
ENC[AES-GCM]::前缀，再调用aesgcm.Open解密 - 解密成功后，手动赋值回 map：
dbMap := cfg["database"].(map[string]interface{}); dbMap["password"] = decrypted
最容易被忽略的三个工程细节
算法本身很稳定，真正出问题的永远是衔接点：密钥含不可见换行符、viper 嵌套赋值失败、解密后明文残留内存。
-
os.Getenv("ENCRYPTION_KEY")必须strings.TrimSpace，否则cipher.ErrAuthentication报错但无提示 -
viper.Set("database.password", x)不生效——它不支持点号路径，必须先viper.Get("database")拿到 map 再改password字段 - 解密后的明文密码留在内存中是常态，但若连接数据库后不再需要，应立即调用
bytes.Fill(decrypted, 0)清空切片，防止被 core dump 或 pprof 泄露
