防御性编程在Go模块开发中是强制落地的执行问题，必须在参数校验、错误包装、资源清理、输入隔离四个接口点全面落实：所有导出函数须做边界检查与空值判断，错误一律用%w包装保留调用链，外部输入必须经DTO校验拦截，资源操作需首行defer配对清理。
直接说结论：防御性编程在 Go 模块开发中不是“要不要做”的选择题，而是“从哪几个接口点强制落地”的执行问题。核心是把校验、错误包装、资源清理、输入隔离这四件事，变成每个导出函数的默认行为。
所有导出函数必须做参数边界检查
Go 不支持函数重载，也不强制类型约束（如泛型未覆盖时），所以 func ProcessUser(id int, name string) 这类签名极易被传入非法值。不检查就进业务逻辑，等于把炸弹埋进主干路径。
- 数值类参数用常量定义合法范围：
const minUserID = 1，而非硬写if id - 字符串长度和格式必须显式验证，尤其来自 JSON/表单解析后的字段：
if len(name) == 0 || len(name) > 64 - 避免“先用再判”：不要等
db.QueryRow(...).Scan()失败才处理空 ID，应在调用前拦截 - 对指针参数要判空：
if input == nil { return fmt.Errorf("input must not be nil") }
错误必须包装且保留原始调用链
返回裸 err 或用 fmt.Errorf("%s", err) 会丢失堆栈和底层错误类型，导致无法区分是网络超时还是数据库连接拒绝——而这直接影响重试策略和监控告警。
- 一律用
%w包装：return fmt.Errorf("failed to fetch user: %w", err) - 避免在中间层吞掉错误：
if err != nil { log.Printf("ignore error: %v", err); return nil }是典型反模式 - 导出错误类型应可识别：
var ErrInvalidEmail = errors.New("invalid email format")，方便调用方用errors.Is(err, ErrInvalidEmail)判断 - HTTP handler 中不要直接
http.Error(w, err.Error(), http.StatusInternalServerError)，需映射为语义化状态码
外部输入必须走专用校验入口，禁止直连业务逻辑
用户提交的 JSON、URL query、form data、gRPC message 等，绝不能解码后直接传给领域函数。模块边界就是校验边界。
立即学习“go语言免费学习笔记（深入）”；
- 定义独立的 DTO 结构体，带
validatortag：type CreateUserReq struct { Name string `validate:"required,min=2,max=32"` } - 校验失败必须阻断，不进入后续流程：
if err := validate.Struct(req); err != nil { return err } - 不要信任
json.Unmarshal的类型安全——它不会阻止"age": "abc"被转成int零值，仍需业务层再校验 - 对文件上传、消息队列消费等非 HTTP 场景，同样需封装
ValidateInput()函数，统一入口
资源操作必须配对 defer + 显式清理逻辑
Go 的 defer 容易给人“已保底”的错觉，但若 defer 的函数本身依赖已失效的上下文（如关闭已 cancel 的 context），或清理动作没覆盖全部分支（比如 error early return 漏掉 defer），就会留下泄漏或残留。
- 文件句柄、DB 连接、HTTP 响应 Body 必须在函数首行就 defer 关闭，哪怕后续有多个 return 点
- 敏感内存（如密钥、token）要用
for i := range buf { buf[i] = 0 }清零，不能只靠 GC - goroutine 启动前必须绑定 context，并在 defer 中 select 等待 Done：
go func() { - 避免 defer 闭包捕获循环变量：
for _, v := range items { defer func() { log.Println(v.Name) }() }会全打印最后一个值；应传参：defer func(val Item) { log.Println(val.Name) }(v)
最常被忽略的一点：防御性不是加一堆 if 和 log 就完事——它要求你把校验逻辑抽成可测试的纯函数，把错误分类映射到明确的 HTTP 状态码或 gRPC Code，并让每个模块的 go test -cover 覆盖率真正触达边界条件分支。否则，所谓防御，只是把 panic 换成了静默失败。
