审计日志必须统一走封装的audit.FileOp函数族，禁用os.Rename等裸调；需捕获runtime.Caller(2)定位调用点，从ctx提取user_id，绝对路径校验敏感文件，UTC时间戳，同步落库，结构化字段含op_type、file_path、call_site等。
audit.FileOp 必须封装所有文件操作入口
Go 没有文件系统层的 syscall hook（不像 Linux auditd），所以审计只能落在应用层。所有涉及文件读写删改的逻辑，必须统一走你封装的 audit.FileOp 函数族，而不是直接调 os.Rename 或 ioutil.WriteFile。
- 定义
audit.WriteFile(ctx context.Context, path string, data []byte, perm fs.FileMode) error，内部先打审计事件再执行真实写入 - 路径参数必须传绝对路径（避免相对路径导致审计时无法定位）；若业务只传相对路径，需在入口用
filepath.Abs转换 - 敏感路径（如
/etc/、$HOME/.ssh/）应提前校验并记录is_sensitive: true字段，便于后续告警 - 不要在封装函数里做
os.Stat预检 —— 审计日志要反映“意图”，不是“结果”。即使文件不存在、权限不足，也要记下“尝试写入 /etc/passwd”
调用栈和操作主体必须能回溯到 handler 层
原生 log.Printf 打出来的日志，行号永远指向 audit.WriteFile 本身，不是调用它的 service 方法。审计日志要能定位到具体哪一行业务代码触发了操作，就得主动捕获栈帧。
- 用
runtime.Caller(2)（跳过封装层 + 当前函数）获取file:line，塞进日志字段call_site - 用户身份不能靠全局变量或硬编码，必须从
ctx.Value(audit.UserIDKey)提取；没传就打 warning 并设user_id: "unknown"，但绝不留空 - HTTP 场景下，
ctx应由中间件注入：ctx = context.WithValue(r.Context(), audit.UserIDKey, userID)，否则audit.FileOp拿不到人 - 非 HTTP 场景（如 cron job）必须显式构造 ctx：
ctx = context.WithValue(context.Background(), audit.UserIDKey, "system:backup-job")
结构化字段不能少，且时间戳必须 UTC
JSON 日志里出现 "2026-06-12T15:00:00+08:00" 这种带本地时区的时间戳，会让 ELK/Loki 解析错乱 —— 它们默认按 UTC 处理，结果查出来的时间比实际晚 8 小时。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 强制用
time.Now().UTC()生成event_time字段，序列化后是"2026-06-12T07:00:00Z" - 必填字段至少包括：
op_type（"write" / "delete" / "rename"）、file_path（绝对路径）、user_id、call_site、event_time、error（失败时填err.Error()，成功则为null） - 避免记录原始内容：写入二进制文件时，
file_size和sha256_hash（计算前 1MB）比content字段更安全、更可检索 - 重命名操作必须同时记
src_path和dst_path，不能只记结果
落盘必须强持久化，别信缓冲或异步
文件操作本身已是 I/O，再加一层异步日志队列，等于把两个慢操作串在一起 —— 万一进程崩溃，chan 里积压的日志全丢，而你刚删掉的密钥文件却没留下任何痕迹。
立即学习“go语言免费学习笔记（深入）”；
- 高危操作（如写入
/etc/下配置、删除*.pem文件）必须同步落库或写入lumberjack.Logger（设LocalTime: true+MaxAge: 180） - 用
os.O_SYNC标志打开审计日志文件（os.OpenFile("audit.log", os.O_CREATE|os.O_WRONLY|os.O_APPEND|os.O_SYNC, 0644)），确保 write() 返回即已刷盘 - 禁止把审计日志和应用日志混写到同一个文件 —— 权限、rotate 策略、保留周期都不同，混在一起等于放弃合规要求
- 如果用 syslog，必须确认
syslog.Priority设为syslog.LOG_AUTHPRIV，这是 Unix 审计日志的标准 facility
audit.WriteFile 而不是随手写 ioutil.WriteFile。最有效的约束不是文档，是在 CI 阶段用 go vet 或自定义静态检查工具，扫出所有对 os. 和 ioutil. 的直接调用并报错。 
