真正安全的路径是Go程序不接触明文密钥且不参与解密：生产用K8s Secret挂载文件+os.ReadFile读取，禁用环境变量；加密仅限特定字段，密钥派生、nonce随机；Vault仅用于部署前分发，不被运行时调用。
Go 微服务里存敏感配置，不能靠“加密配置文件”或“环境变量硬塞”，真正安全的路径只有一条：让 Go 程序本身不碰明文密钥，也不参与解密逻辑。
为什么 os.Getenv("DB_PASSWORD") 是最松散的共享内存
环境变量在 Linux 下本质是进程启动时继承的字符串数组，ps aux、/proc/[pid]/environ、容器 env 命令全都能直接看到。K8s 用 envFrom 注入 Secret 更危险——所有同用户容器共享同一份明文。
- 本地开发可用
godotenv加载.env，但必须.gitignore且仅限main包调用 - 生产环境绝不用
os.Getenv；改用os.LookupEnv显式校验：if pwd, ok := os.LookupEnv("DB_PASSWORD"); !ok || len(pwd) == 0 - 日志中禁止打印任何含敏感字段的 struct；哪怕
fmt.Printf("%+v", cfg)都会泄露
K8s Secret 挂载为文件 + os.ReadFile 是当前最稳妥的落地方式
Secret 以 volume 方式挂载到固定路径（如 /etc/secrets/db/password），权限设为 0440，Go 只做一件事：os.ReadFile 读取字节流。没有解析、不解密、不校验格式——它只是个二进制 blob。
- 本地开发模拟相同路径，用
make secrets生成测试文件，不进 Git - 绝不能打印读取结果长度：
log.Printf("pwd len: %d", len(b))可能构成侧信道攻击 - 文件内容本身不校验是否为空或合法；验证逻辑应后置到连接数据库阶段
字段级 AES-GCM 加密只在必须动态加载时才启用
整文件加密会让 viper、jq、helm template 全部失效，diff 失去意义，CI 脚本变复杂。真实项目中只加密特定键值，比如 database.password 或 api.token。
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
立即学习“go语言免费学习笔记（深入）”；
- 密钥必须是 32 字节；严禁
[]byte("mykey")硬编码；推荐用pbkdf2.Key派生，带随机 salt 和 ≥100000 轮迭代 - nonce 固定 12 字节，每次加密都调用
crypto/rand.Read(nonce[:])生成新值 - 密文结构为
nonce + ciphertext + auth tag，base64 编码后加前缀如ENC[AES-GCM]:: - 解密时机在
viper.AllSettings()之后递归遍历 map，匹配键路径后调用aesgcm.Open；失败必须检查err != nil，不能依赖返回切片长度
Vault 不是替代方案，而是密钥分发基础设施
Vault 不该被 Go 程序直接调用解密——runtime 执行 exec.Command("vault", "read") 会引入权限、超时、错误码不可控等问题。它只负责在部署前把密钥写入 K8s Secret 或文件系统。
- CI/CD 流水线中用 Vault CLI 获取密钥，写入
Secret对象再挂载 - Go 程序只依赖文件路径或 Secret 名，不感知 Vault 存在
- 本地开发可配 Vault dev server，但交付物仍是挂载的文件，不是 API 调用链
最容易被忽略的点：结构体小写字段（如 password string）在本包内 fmt.Println 仍会输出明文；脱敏必须靠显式实现 fmt.Formatter 或 slog.LogValue，而不是靠字段名大小写。
