GoLand不提供数据资产加密存储开箱即用链路，所有加密逻辑须由Go代码实现：需手动实现AES-GCM、控制密钥加载、解密字段；数据库密码不可明文存于dataSources.xml，应通过viper或环境变量动态构造并解密；ENCRYPTION_KEY须在Run Configuration中显式注入且长度严格为32字节；解密后须清空原始密文内存。
GoLand 本身不提供“数据资产加密存储”的开箱即用链路，所有加密逻辑必须由 Go 代码实现，IDE 只负责调试、连接数据库和管理配置——你得自己写 aes.GCM、自己控制密钥加载时机、自己决定在哪一步解密字段。
GoLand 中配置数据库连接时，密码不能明文写死在 dataSources.xml 里
GoLand 默认把密码存进 .idea/dataSources.xml，但这是 IDE 自用缓存，不是你的应用运行时凭据来源。实际项目中，你的 Go 程序绝不能依赖这个文件读密码。
- 选“从不”或“直到重新启动”保存密码，避免密码被持久化到磁盘（尤其别选“永远”）
- 连接测试成功后，立刻关掉该数据源的自动连接——它只用于 SQL 补全和表结构查看，不是你程序的数据源
- 真正要用的数据库连接字符串，必须由 Go 代码通过
viper或os.Getenv动态构造，且敏感字段（如password）需先解密再拼接
加密字段必须在 viper.ReadInConfig() 之后、业务逻辑使用之前解密
很多人误以为可以在 viper.SetConfigFile 之前拦截文件流做解密，但这样会破坏 YAML 解析器对结构的识别，导致 viper.GetString("database.password") 返回空或 panic。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 先调用
viper.ReadInConfig()完整加载明文配置（含带ENC[AES-GCM]::前缀的密文字段） - 用
viper.AllSettings()拿到顶层map[string]interface{}，递归遍历键路径匹配预设列表（如"database.password"） - 对匹配字段值调用
aesgcm.Open()解密，成功后手动写回 map 对应位置（dbMap["password"] = decrypted） - 切记：解密后立即用
bytes.Equal清空原始密文 byte slice，防止内存 dump 泄露
GoLand 调试时，环境变量 ENCRYPTION_KEY 必须显式注入
密钥不能硬编码，也不能靠本地 .env 文件自动加载——GoLand 的 Run Configuration 不会默认读取 .env，你得手动填。
- 在 Run Configuration → Environment variables 栏添加：
ENCRYPTION_KEY=your-32-byte-key-here - 确保该 key 是 SHA256 哈希后截取前 32 字节，或用
pbkdf2.Key派生，而非直接用字符串当密钥 - 调试时若看到
crypto/aes: invalid key size，八成是 key 长度不对（AES-GCM 要求严格 32 字节） - 别把
ENCRYPTION_KEY提交进 Git——加进.gitignore，并用 GoLand 的 “Environment Variables” UI 管理，别写进代码
加密归档文件时，GoLand 无法帮你校验 SHA256 或验证 GCM tag
你写的 tar + gzip + aesgcm 流程，在 GoLand 里只能当普通 Go 代码调试，IDE 不会感知“这个字节是 nonce”或“那个 tag 是否有效”。出错时错误堆栈不会告诉你 auth tag 验证失败，而是报 gzip: invalid header 或 unexpected EOF。
- 解密函数开头必须先调用
aesgcm.Open()，检查返回 error 是否为cipher.AEADAuthFailed - 校验 SHA256 必须在加密前计算，并单独写入归档头或同名
.sha256文件——不能指望 tar 自带校验 - 大文件不要全 load 进
bytes.Buffer，改用os.CreateTemp写临时 tar 文件，加密完成再 rename，否则内存溢出时 debug 无从下手
最易被忽略的是密钥派生与 nonce 生成的衔接点：哪怕算法完全正确，pbkdf2.Key 参数错一位、crypto/rand.Read(nonce[:]) 忘了检查 err、解密后没清空明文内存——都会让整套加密形同虚设。
