strings.NewReplacer是专为固定、无重叠、多对一、高频复用场景设计的独立工具，非strings.ReplaceAll的高级替代；传参必须偶数个，否则panic；old串不可互为前缀，否则结果不可控；Replace与ReplaceAll等价，均全量替换。
直接说结论：用 Replace in Path 配合正则 + strings.NewReplacer 代码层兜底，别依赖单次 Ctrl+H —— 否则漏改 password 却改了 password_reset_token 这类嵌套字段，或跳过注释/字符串里的硬编码值。
用 Replace in Path 批量改项目里所有敏感字面量
这是最常被忽略的第一步：很多人只在当前文件按 Ctrl+Shift+R，结果只改了 main.go 里的 "api_key"，却漏掉 config.yaml、testdata/ 下的示例 JSON、甚至 // token: abc123 注释里的明文。
- 必须按
Ctrl+Shift+R→ 点左下角Replace in Path…，不是Replace in File - Scope 选
All Places或自定义目录（比如排除vendor/和third_party/） - 勾选
Regex，但搜索内容写成字面量更安全：比如搜password\s*=\s*["']([^"']*)["']，而不是盲目搜password - 预览时手动点开每个匹配项，确认上下文 ——
password_hash和password语义不同，不能一锅端
正则替换时怎么避免误伤和转义翻车
GoLand 的正则引擎对括号、点号、星号等字符默认不转义，直接粘贴 fmt.Errorf("user %s not found", name) 会被当语法错误解析。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 搜索框里输入
fmt\.Errorf\("([^"]*)"\s*,\s*(\w+)，注意\.和\(必须加反斜杠 - 替换内容用
$1: %s，别写成\1: %s（GoLand 用美元符，不是反斜杠） - 如果要替换多个不同关键词（如
token、secret、auth_key），别写三个正则 —— 先用Replace in Path搜token|secret|auth_key，再逐个确认上下文是否真该替换 - 跨行匹配慎用：
[\s\S]*?容易卡死，优先拆成多步：先删空行，再处理单行模式
代码里硬编码的敏感值，必须用 strings.NewReplacer 做运行时兜底
IDE 替换只是静态修改，无法覆盖动态拼接的敏感值（比如 url := "https://api.com?key=" + apiKey）。这类必须进代码加固。
- 别用链式
strings.ReplaceAll(strings.ReplaceAll(s, "key=", "key=***"), "token=", "token=***")—— 性能差、易漏、中间字符串爆炸 - 用
r := strings.NewReplacer("key=", "key=***", "token=", "token=***", "secret=", "secret=***")，它单次扫描完成全部替换 - 注意 panic 风险：
strings.NewReplacer参数个数必须为偶数，且 key 不能为空字符串（Go 1.22+ 直接 panic） - 替换后加日志校验：
if strings.Contains(r.Replace(input), "key=") { log.Fatal("sensitive pattern still present") }
容易被跳过的盲区：注释、测试数据、环境变量引用
90% 的漏改发生在这些地方：IDE 默认不搜注释（除非手动勾选 In Comments），测试文件夹被设为 Excluded，.env 文件类型没加进 File Mask。
- 在
Replace in Path对话框里，点击Filter图标 → 勾选In Comments和In Strings（否则// default password: admin永远不会被扫到） - File mask 填
*.go;*.yaml;*.json;*.env;*.md，别只留*.go - 检查
testdata/目录是否在 Project Structure → Modules → Sources 里被标记为Excluded—— 如果是，右键取消排除，否则Replace in Path根本看不见它 - 环境变量引用如
${API_KEY}属于模板语法，得用对应 DSL 的替换规则（比如 Go template 用{{.API_KEY}}），不能拿普通正则硬套
真正麻烦的不是“怎么替换”，而是“怎么确认没漏”——每次替换完，必须跑一次 grep -r -n "password\|token\|secret" . --include="*.go" --include="*.yaml" 手动验证，IDE 的预览功能再强也替代不了这一行 shell。
