敏感配置严禁写入go.mod或.idea目录，因.go.mod明文存储依赖信息，.idea目录（尤其workspace.xml和runConfigurations）以明文保存环境变量、命令快照等，提交Git会导致密钥泄露；应改用.gitignore保护.env文件，通过godotenv.Load()加载，并由系统级凭据管理器（如~/.netrc或Git Credential Manager）处理私有模块凭证。
敏感配置不能写进 go.mod 或 .idea 目录
GoLand 本身不提供“加密配置管理”功能，所有项目级配置（如 SDK 路径、模块代理、调试器选项）都以明文 XML 存在 .idea 目录下。这些文件一旦提交到 Git，GOPROXY、GOPRIVATE、甚至本地路径中的用户名都可能泄露。尤其注意：.idea/workspace.xml 会记录最近运行的命令、环境变量快照、临时断点等——其中若包含 DB_PASSWORD=xxx 这类内容，就直接暴露了。
用 .env + godotenv 隔离运行时密钥
GoLand 不内置 dotenv 支持，但可配合社区方案安全加载：
- 在项目根目录新建
.env，只放运行时需要的变量（如API_KEY=sk-xxx、DB_URL=postgres://user:pass@host/db），务必把.env加入.gitignore - 代码中用
github.com/joho/godotenv加载：func init() { _ = godotenv.Load() } - GoLand 运行配置里，不要在 Environment variables 栏手动填密钥——那会存进
.idea/workspace.xml；改用 “Before launch” 添加 Shell 命令执行source .env && go run main.go（仅限开发，非推荐生产方式）
GoLand 的 Run Configuration 环境变量是明文存储点
你在右上角配置里填的 Environment variables（比如 ENV=prod 或 SECRET=abc），会被 GoLand 写进 .idea/runConfigurations/xxx.xml。这个文件默认被 Git 跟踪（除非你主动忽略 .idea/runConfigurations）。后果是：
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 团队成员拉代码后，直接看到别人配置的密钥
- CI/CD 流水线若读取该文件，可能误用开发密钥
- 即使删掉变量再保存，旧值仍残留在 XML 历史中
解决办法只有两个：禁用该配置的版本控制（在 .gitignore 加 .idea/runConfigurations/），或彻底放弃在 Run Configuration 里塞敏感值，改用外部 .env 文件 + 代码加载。
私有模块凭证要配在系统级，而非项目级
如果你用 GOPRIVATE=git.example.com 拉私有仓库，对应 SSH 密钥或 token 不能靠 GoLand 设置——它没地方输密码。正确路径是：
- Linux/macOS：确保
~/.netrc或git config --global url."https://token@github.com".insteadOf "https://github.com"已生效 - Windows：用 Git Credential Manager 缓存凭据，而非在 GoLand 的
Settings > Go > Go Modules > Environment里硬编码GIT_USERNAME/GIT_TOKEN - 验证方式：终端执行
go list -m all能成功，才代表 GoLand 启动的go进程也能访问
真正容易被忽略的是：GoLand 的模块解析进程（用于索引、跳转、报错提示）和你终端里敲的 go 命令，用的是两套环境变量继承逻辑。前者默认不读系统 ~/.bashrc，所以哪怕你在 shell 里配置好了 netrc，GoLand 仍可能标红 import ——必须靠操作系统级凭据管理器兜底。
