crypto/rand.Reader阻塞是因熵不足导致，需确保熵池充足或注入伪随机源；cipher/aes函数断点失效源于内联优化，应禁用内联或拆分调用；aesgcm.Open解密乱码因tag校验失败不报错，须显式验证输出；RSA公钥解析需类型断言，PEM类型必须为"RSA PUBLIC KEY"。
调试时 crypto/rand.Reader 阻塞或卡住
GoLand 调试器在遇到 crypto/rand.Reader（比如 rsa.GenerateKey 或 aesgcm.New 内部调用）时，可能表现为断点不触发、线程挂起、甚至调试会话无响应。这不是 bug，而是因为 crypto/rand.Reader 底层依赖操作系统熵池（如 /dev/random），在某些环境（Docker 容器、CI 机器、虚拟机）中熵不足会导致阻塞。
实际表现：光标停在 rand.Read(...) 或 rsa.GenerateKey(...) 行，但“Step Into”没反应，Variables 面板空白，Console 无输出。
- 临时解决：在调试前手动注入伪随机源，例如用
math/rand.New(rand.NewSource(time.Now().UnixNano()))替代部分非安全场景（仅限测试，绝不可用于生产密钥生成） - 真正安全的调试方式：确保宿主机有足够熵（
cat /proc/sys/kernel/random/entropy_avail≥ 200），或在 Docker 启动时加--device /dev/random:/dev/random - GoLand 设置里关闭 “Enable goroutine debugging”（Settings → Go → Debugger），避免 goroutine 调度干扰主流程观察
断点打在 cipher.NewGCM 或 aes.NewCipher 上无效
标准库 cipher.NewGCM 和 aes.NewCipher 是纯内存操作，不涉及 I/O 或系统调用，但 GoLand 有时因内联优化（inlining）跳过这些函数的断点——尤其当它们被编译器内联进调用方时，Debugger 看不到独立栈帧。
典型现象：断点设在 block, err := aes.NewCipher(key) 这一行，F7 进不去，直接跳到下一行；Variables 面板里 block 显示为 <not available></not>。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 强制禁用内联：在运行配置里添加 `-gcflags="-l"` 参数（Run → Edit Configurations → Go Build → Go tool arguments），让编译器保留函数边界
- 把关键变量提前声明并赋值，拆开单行调用：
block, err := aes.NewCipher(key) if err != nil { return nil, err } // 改成： var block cipher.Block block, err = aes.NewCipher(key)这样 Debugger 更容易捕获中间状态 - 检查 GoLand 的 Go SDK 是否匹配项目 Go 版本（特别是 Go 1.21+ 对 crypto 包有 ABI 变更），Mismatch 会导致符号表错乱
解密失败时 err == nil 但结果乱码
用 aesgcm.Open 解密后得到看似成功的 plaintext，但内容是乱码或空字符串，而 err 居然是 nil。这是因为 aesgcm.Open 的设计逻辑：它只在校验 tag 失败时返回 cipher.ErrAuthentication，其他情况（比如 nonce 错、密钥错、密文截断）可能静默返回错误字节流，不报错。
这是最隐蔽的调试陷阱：Debugger 显示一切正常，但业务逻辑崩溃。
- 必须显式检查 tag 校验结果：不要只看
err == nil，要确认len(plaintext) > 0且内容符合预期格式（比如 JSON 开头是{） - 在断点处右键 Variables → “Add to Watches”，手动输入
hex.EncodeToString(ciphertext)和hex.EncodeToString(nonce)，比对加密端输出是否一致 - 注意
aesgcm.NonceSize()返回 12，但有些旧代码误用 16 字节 IV；GCM 模式下 nonce 长度错会导致解密必然失败且不报错
调试 RSA 加密时公钥解析失败却无提示
用 pem.Decode 读取公钥 PEM 块后传给 x509.ParsePKIXPublicKey，Debugger 显示 err 为 nil，但后续 rsa.EncryptOAEP panic 报 “invalid public key”。原因是 ParsePKIXPublicKey 成功返回 interface{}，但类型断言失败未暴露错误。
典型表现：断点停在 pub, err := x509.ParsePKIXPublicKey(pubDER)，err 是 nil，pub 类型显示为 interface {}，无法展开查看字段。
- 立刻做类型断言并检查：
pub, err := x509.ParsePKIXPublicKey(pubDER) if err != nil { return err } rsaPub, ok := pub.(*rsa.PublicKey) if !ok { return fmt.Errorf("public key is not RSA") } - 在 Watch 窗口输入
fmt.Sprintf("%#v", pub)，能直接看到底层结构是否为*rsa.PublicKey - PEM Block 的
Type必须严格为"RSA PUBLIC KEY"（不是"PUBLIC KEY"），否则ParsePKIXPublicKey会静默失败
