模块接口安全加固核心在于「密钥隔离 + 调用鉴权 + 时序防护」三者缺一不可：密钥须 runtime 环境变量注入、HTTP 接口需时效性 HMAC 签名（含 timestamp/nonce/请求体摘要并校验±180秒窗口）、跨模块调用必须收敛至显式 interface 入口，严禁直连 internal 实现。
直接上结论：模块接口安全加固不是加一层中间件或改几个函数签名就能解决的，核心在于「密钥隔离 + 调用鉴权 + 时序防护」三者缺一不可。硬编码密钥、裸奔调用、不校验时间戳——这三类问题在内部模块间 RPC 或 HTTP 接口暴露时高频出现，且上线后极难发现。
密钥不能写死在代码里，必须走 runtime 注入
很多团队把 user.Service 的 HMAC 密钥直接定义为全局常量，或者塞进 config.yaml 一起打包进镜像。一旦镜像泄露，密钥即失守。
- 生产环境一律通过环境变量注入，例如
USER_API_SECRET=xxx，启动时用os.Getenv("USER_API_SECRET")读取 - 本地开发可配合
.env文件（但该文件必须加进.gitignore），禁用任何secret = "xxx"形式的硬编码 - 若使用 Wire 生成依赖图，密钥应作为
value类型提供者注入，避免被误当成普通配置导出
HTTP 模块接口必须带时效性签名，不能只靠 token
仅验证 Authorization: Bearer xxx 只能防未授权访问，防不了重放攻击。尤其在跨模块调用（如 order 调 payment）时，必须叠加基于时间窗口的签名校验。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 客户端生成签名时，拼接字段至少包含：
method+path+timestamp（秒级）+nonce（随机字符串）+ 请求体摘要（如sha256(body)） - 服务端收到请求后，先检查
timestamp是否落在 ±180 秒窗口内，再用相同逻辑重新计算 HMAC 并比对 - 务必使用
hmac.Equal()而非==比较签名，防止时序攻击
模块间调用要收敛入口，禁止直连 internal 实现
常见错误是 order/internal/service.go 直接 new 一个 user.Repository 实例，绕过所有认证和限流逻辑。模块边界一旦被穿透，安全策略就形同虚设。
立即学习“go语言免费学习笔记（深入）”；
- 所有跨模块能力必须通过显式定义的 interface 暴露，例如
user.ClientInterface，且只在internal/domain/user/client.go中实现 -
client.go内部统一封装签名、重试、超时、日志埋点，业务层只管调client.GetUser(ctx, id) - 禁止在
go.mod中用replace把./internal/xxx映射成模块路径——这会让测试和构建绕过真正的依赖约束
最易被忽略的是时间同步问题：当调用方和服务方系统时间偏差超过窗口阈值，签名必然失败，但错误日志里往往只显示「invalid signature」，没人去查 NTP 状态。上线前务必确认所有节点已启用 systemd-timesyncd 或对接统一时间源。
