AST是Python代码的抽象语法树，由ast模块提供解析、遍历（NodeVisitor/NodeTransformer）和修改能力，用于静态分析、自动重构、依赖提取等安全与开发场景。
为什么直接用 ast.Inspect 就能做安全检查，但一跑就 panic
因为安全检查本质是“遍历所有可疑节点 + 判断是否合规”，而 ast.Inspect 是唯一能覆盖全部节点类型的遍历方式——包括 *ast.FuncLit（闭包）、*ast.CompositeLit（字面量）、*ast.TypeSpec（类型定义）这些手写递归容易漏掉的结构。但 panic 几乎都源于四件事没做：没传 token.FileSet、没校验 err != nil、mode 没带 parser.ParseComments、对 nil 字段（如 f.Type.Params）直接取值。
-
fset必须是token.NewFileSet()新建的，复用旧的会导致所有.Pos()返回 0，定位失效 -
src不能为空字节切片，BOM 头、CRLF/LF 混用都会让parser.ParseFile返回err，此时file == nil -
mode至少含parser.ParseComments，否则函数注释、结构体文档全丢，无法做“禁止敏感注释”类检查 - 回调里必须用类型断言加
ok判断：if f, ok := node.(*ast.FuncDecl); ok { ... }，否则遇到*ast.FuncLit会静默跳过
怎么安全提取函数调用并识别高危 API
安全检查最常见需求是拦截 exec.Command、os.OpenFile、syscall 等调用。但不能只看函数名，得看完整路径：比如 cmd := exec.Command("sh", "-c", payload) 中的 exec.Command 是调用，而 myexec.Command 不是。
- 匹配
*ast.CallExpr节点，再向上追溯CallExpr.Fun的类型：*ast.SelectorExpr表示pkg.Func形式，*ast.Ident表示裸函数名 - 对
*ast.SelectorExpr，先取X（左操作数），再判断X.(*ast.Ident).Name == "exec"且Sel.Name == "Command" - 对
*ast.Ident，需结合导入列表确认是否来自"os/exec"包——这一步必须用go/types，单靠ast无法解析 import 别名或跨包引用 - 别在回调里改节点：AST 是只读的，改了也不会影响源码，还可能干扰后续遍历
如何检查结构体字段是否带敏感 tag 或未导出
很多安全策略要求禁止 json:"password"、yaml:"secret" 这类 tag，或强制敏感字段小写首字母（未导出）。但 ast.TypeSpec 本身没有 Doc 字段，结构体文档实际挂在它所在的 *ast.GenDecl 上；而 struct tag 是字符串，需清洗后交 reflect.StructTag 解析，不能用字符串匹配。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 遍历到
*ast.TypeSpec后，向上找父节点*ast.GenDecl，再取GenDecl.Doc.Text()获取文档注释 - 字段 tag 存在
Field.Tag（*ast.BasicLit类型），值形如`json:"pwd,omitempty"`，需去掉反引号再传给reflect.StructTag - 判断字段是否导出：看
Field.Names[0].Name是否满足token.IsExported(name)，不是简单判断首字母大小写（如αField是导出的） - 注意
Field.Names可能为空（匿名字段，如io.Reader），取[0]前必须判空
为什么跨包类型检查必须用 go/types，而不是只靠 ast
单靠 ast 只能看到 &MyStruct{}，但不知道 MyStruct 定义在哪、字段类型是什么、是否实现了某个接口——这些是安全检查的关键依据。比如拦截 “对密码字段调用 fmt.Printf”，就得知道某个 field.Name 对应的真实类型是不是 string 且 tag 含 password。
立即学习“go语言免费学习笔记（深入）”；
-
go/types需配合go/packages加载整个模块，不能只喂一个文件；否则import "net/http"的类型信息全为空 - 加载后通过
types.Info.Types[node].Type获取节点真实类型，用types.TypeString转成可读字符串 - 结构体字段类型推导：对
*ast.Field，先拿到其Field.Type对应的ast.Node，再查types.Info.Types映射 - 别试图手动拼接 import 路径去匹配——包别名、vendor 路径、replace 指令都会让字符串匹配失效
真正难的不是写遍历逻辑，而是把 AST 节点和类型系统、导入路径、构建上下文对齐。漏掉任意一环，检查结果就不可信。比如没开 parser.ParseComments，就拿不到注释里的 //nolint:security；没走 go/packages，就分不清 http.Header 和自定义的同名类型。
