godotenv.Load()仅加载变量而不隐藏，安全关键在于后续读取与使用：必须用os.LookupEnv区分“未设置”和“设为空”，.env文件须.gitignore且配.env.example，生产禁用而改用Secret/Docker -e，敏感字段需结构体脱敏及String()方法。
godotenv.Load() 本身不隐藏变量，它只是把 .env 文件内容塞进进程环境——真正决定“是否暴露”的，是你后续怎么读、怎么用、怎么输出。
os.LookupEnv 是安全读取的起点，不是 os.Getenv
直接用 os.Getenv("API_KEY") 拿值，等于默认接受空字符串、空白符、甚至根本没设——服务可能带着空密钥静默跑起来，连错误日志都没有。
必须改用 os.LookupEnv，靠返回的 bool 显式区分“未设置”和“设为空”：
-
if key, ok := os.LookupEnv("API_KEY"); !ok→ 环境变量根本没声明，立刻log.Fatal -
else if len(key) == 0→ 值是空字符串或纯空格，同样拒绝启动 - 绝不 fallback 到测试密钥（比如
"dev-key"），测试密钥也得带test-前缀且只在//go:build dev下启用
.env 文件必须严格限域加载，且永不提交
godotenv.Load() 只能在 cmd/ 或 main.go 开头调用，绝不能出现在 pkg/ 或 internal/ 里——否则任意 import 都会触发加载，CI 构建时也可能意外生效。
立即学习“go语言免费学习笔记（深入）”；
.env 文件本身要进 .gitignore，同时配套提供 .env.example（只含变量名和注释，无任何值）：
DB_HOST=localhost DB_PORT=5432 API_KEY=your_api_key_here # ← 此处留空，勿填真实值
生产环境禁用 .env：Docker 用 -e 注入，K8s 用 Secret 挂载，GitHub Actions 用 secrets，而不是让 godotenv.Load() 在 prod 构建中执行。
敏感字段进结构体前就得脱敏，不是等出问题再补
定义配置结构体时，对密码、密钥类字段必须加 json:"-" yaml:"-" 标签，否则 json.Marshal(cfg) 或 slog.With(cfg) 会原样吐出来：
type Config struct {
DBPassword string `json:"-" yaml:"-"`
APIKey string `json:"-" yaml:"-"`
}更进一步，实现 String() 方法，让 fmt.Printf("%+v", cfg) 也安全：
func (c Config) String() string {
return fmt.Sprintf("{DBPassword: %s, APIKey: %s}",
"***", "***")
}HTTP handler 中禁止传整个 Config 给日志或响应；必须手动提取非敏感字段，例如：slog.String("db_host", c.DBHost)。
文件路径代替明文值，但路径本身也要保密
把密钥存在文件里（如 ./secrets/api.key），再用环境变量指向路径，能规避 ps aux 和 shell history 泄露：
- 设环境变量：
export API_KEY_PATH="./secrets/api.key" - 代码里读路径，再
os.ReadFile获取内容 - 路径名不能暴露密钥信息，避免
API_KEY_PROD_2026.key这种命名 - 文件权限设为
600，且该路径本身不能硬编码在代码或日志里
真正危险的不是“密钥在哪”，而是“密钥以明文形式出现在进程内存以外的任何地方”——包括 .env、Git 提交、日志、错误栈、HTTP 响应体。每一步都要主动防御，而不是依赖某一个环节不出错。
