不能直接用 os/exec 跑 Lua 文件，因其无法共享 Go 变量、开销大、错误不回传、热重载难且无法访问 Go 侧资源；必须嵌入 Lua 解释器，推荐纯 Go 实现的 gopher-lua。
为什么不能直接用 os/exec 跑 Lua 文件？
很多开发者第一反应是起个子进程执行 lua script.lua，看似简单，但实际会卡在几个硬伤上：无法共享 Go 的变量和结构体、每次调用都要 fork 新进程（开销大）、错误堆栈不回传到 Go 层、热重载困难。更麻烦的是，Lua 脚本如果要访问 Go 侧的数据库连接、日志实例或配置对象，os/exec 完全无能为力。
真正可行的路径只有一条：把 Lua 解释器嵌进 Go 进程里，用 Cgo 或纯 Go 实现的绑定层做桥接。目前主流选择是 gopher-lua —— 它是纯 Go 实现的 Lua 5.1 兼容解释器，无 C 依赖，跨平台友好，且 API 设计贴合 Go 习惯。
如何用 gopher-lua 加载并执行一段 Lua 字符串？
这是最基础的“跑起来”场景，适合配置逻辑、简单规则判断。注意不是所有 Lua 语法都支持（比如 module 和 require 默认被禁用），而且默认不带标准库的 io、os 模块（出于安全考虑）。
- 先安装：
go get github.com/yuin/gopher-lua - 创建 LState：
L := lua.NewState()，它代表一个独立的 Lua 虚拟机实例，线程不安全，别复用 - 加载代码用
L.DoString("return 2 + 2")，返回值在栈顶，用L.Get(-1)取；出错时返回非 nil error，L.Close()必须调用 - 若脚本含语法错误，
DoString直接返回类似./script:3: unexpected symbol near 'end'的error，不是 panic
示例：
立即学习“go语言免费学习笔记（深入）”；
L := lua.NewState()
defer L.Close()
if err := L.DoString(`return { code = 200, msg = "ok" }`); err != nil {
log.Fatal(err) // 如：./script:1: unfinished string near '"ok" }'
}
// 取返回表
t := L.Get(-1).(*lua.LTable)
code := int(t.RawGetInt(1).(*lua.LNumber).Int())
怎么把 Go 函数暴露给 Lua 调用？
这是动态脚本的核心价值——让 Lua 能触发业务逻辑。关键在于注册 Go 函数为 Lua 全局函数，且必须处理好类型双向转换。Lua 栈操作是核心，参数从栈底（索引 1）开始读，返回值压栈后由解释器自动取走。
- 函数签名必须是
func(*lua.LState) int，返回值是“压入栈的返回值个数” - 用
L.ToString(1)读字符串、L.ToNumber(2)读数字，越界或类型错会 panic，建议先用L.Get(1).Type() == lua.LTString判断 - 返回值用
L.Push()压栈，顺序即 Lua 接收顺序；多个返回值就 push 多次，最后 return 数量 - 别在 Lua 回调里直接调用 Go 的 goroutine-blocking 操作（如
http.Get），除非你明确控制超时和上下文传递
暴露一个日志函数示例：
L.SetGlobal("log_info", L.NewFunction(func(L *lua.LState) int {
msg := L.ToString(1)
log.Printf("[LUA] %s", msg)
return 0 // 无返回值
}))
// Lua 中即可写：log_info("user login")
如何安全地限制 Lua 脚本的资源消耗？
用户上传的 Lua 脚本可能无限循环或耗尽内存，gopher-lua 提供了两个关键机制：指令计数钩子（SetCallHook）和内存分配钩子（SetAllocHook）。但注意，它们不是“硬隔离”，而是协作式中断——脚本需主动 yield 才能检测，所以死循环 while true do end 仍会卡死，必须配合 SetTimeout（底层基于 timer 和 goroutine 抢占）。
- 用
L.SetTimeout(5 * time.Second)最简单，超时后DoString返回context.DeadlineExceeded错误 - 若需更细粒度控制（比如每执行 1000 条指令检查一次），用
L.SetCallHook(func(*lua.LState) { ... }, 1000)，但 hook 函数本身不能阻塞 - 禁止加载危险模块：创建 LState 后立刻调用
L.PreloadModule("os", nil)和L.PreloadModule("io", nil)，让require "os"失败 - 沙箱路径限制：若允许
require，务必重写package.searchers，只允许从白名单目录加载 .lua 文件
最容易被忽略的一点：LState 实例不能复用。每个脚本应使用新实例，否则全局变量、已注册函数、内存状态都会污染。性能敏感场景下，可用对象池缓存 LState，但必须保证 Close() 后重置干净（gopher-lua 目前不提供 Reset 方法，推荐每次新建）。
