golangci-lint 必须配置为 on save 才能拦截 runtime 风险；goimports 需配合 gofmt 按域名分组 import；审计字段须从 context 注入并校验；审计日志须独立文件输出且权限严格。
启用 golangci-lint 保存即扫描
不配置成「on save」，就等于没用——它只会安静躺在 Code → Inspect Code 里等你手动点，而真实漏洞往往在提交前最后一刻才暴露。golangci-lint 的价值在于拦截 nil 解引用、err 忽略、未关闭的 io.Closer 这类 runtime 级风险，不是帮你调格式。
实操建议：
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 安装后进入 Settings → Tools → Go Linter，勾选
Run on the fly（不是Run only on explicit save） - 禁用
disable-all: true后，显式启用govet、errcheck、staticcheck，别开revive或gosimple全集——它们对同一处if err != nil可能报两次，反而掩盖真正要修的defer resp.Body.Close()缺失 - 检查配置文件中是否漏掉
run: timeout: 30s，超时会导致 lint 卡住保存流程，尤其在大型项目里
配齐 gofmt + goimports 文件监听器
只靠 gofmt 会把 import 拆得乱七八糟：标准库、第三方、本地包混在一起，还可能把刚加的 github.com/xxx/log 和 gitlab.com/yyy/util 归到同一组，这违反审计日志模块必须物理隔离的要求。
实操建议：
- Settings → Tools → File Watchers，添加两个 watcher：先
gofmt，再goimports（顺序不能反，否则gofmt会抹掉goimports的分组） -
goimports必须手动安装：go install golang.org/x/tools/cmd/goimports@latest（Go 1.21+ 强烈加@latest） - 如需进一步区分 Git 域名（比如把
github.com和gitlab.com分开），启动goimports时加-local github.com/yourorg参数，或换用社区维护的gofumpt+goimports组合
审计日志字段必须从 context 注入，而非临时拼接
你在中间件里取了 r.Header.Get("Authorization")，却没把解析出的 audit.UserID 塞进 context.Context，后续所有日志都会缺主体——这种缺失不会报错，但会让安全团队查违规操作时找不到人。
实操建议：
- 在入口 handler 或 auth 中间件里，用
context.WithValue(r.Context(), audit.UserID, userID)注入关键字段 - 审计日志专用的
*log.Logger写入前强制校验：if userID == nil || action == "" || resource == ""，缺一则打warning并补"system"，避免日志残缺 - 禁止用
time.Now()打时间戳——HTTP 请求生命周期内应统一用请求开始时采集的时间，否则审计链路上下文时间对不上
审计日志输出必须物理隔离，不能共用 stdout 或通用 JSON 日志
把审计日志和 debug 日志一起写进 stdout，等于把身份证复印件和购物小票塞进同一个信封——运维没法单独归档，安全团队 grep 时得扫 GB 级混合日志，等保要求的 180 天保留也根本做不到。
实操建议：
- 初始化独立的
*log.Logger实例，输出路径硬编码为/var/log/app/audit.log（不要用变量拼接） - 用
lumberjack.Logger配置 rotation：MaxAge: 180、Compress: true、LocalTime: true，并确保文件权限为640，属组为security - 禁止在任何地方把
audit.UserID或audit.TokenHashPrefix打进通用日志字段（哪怕 key 名叫user_id）——物理路径不同，才是真正的隔离
golangci-lint 是否真在保存时跑、goimports 是否真按域分组、审计字段是否真从 context 流到底层 logger、审计日志是否真落在独立文件里。漏掉任意一环，安全审计就只剩形式。 
