Beego 必须手动配置 TLS 并注入安全响应头才能强制启用 HTTPS、禁用弱协议：需显式构造 http.Server 实例，设置 MinVersion ≥ tls.VersionTLS12、指定强加密套件，并通过 InsertFilter 在 BeforeRouter 阶段添加 X-Content-Type-Options、X-Frame-Options 和 Strict-Transport-Security 头；同时生产环境必须设 runmode=prod、关闭调试信息与配置文件暴露。
Beego 默认不开启 HTTPS，也不自动注入安全响应头，生产环境直接暴露 HTTP 服务等于默认放弃基础防护层。必须手动配置 TLS、插入过滤器、关闭调试模式，并禁用敏感信息输出。
如何强制启用 HTTPS 并禁用弱协议
Beego 本身不封装 http.Server 的 TLSConfig，需在 main.go 启动前自行构造带强 TLS 策略的 server 实例：
- 不能只调用
beego.Run()—— 它内部用的是裸http.ListenAndServe，不支持 TLS - 必须用
http.Server显式启动，传入自定义tls.Config -
MinVersion至少设为tls.VersionTLS12，禁用SSL3.0/TLS1.0/TLS1.1 - 显式指定强加密套件，例如
tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 - 避免使用
ServerName空字符串或通配符证书，否则 SNI 校验可能绕过
示例关键代码：
srv := &http.Server{
Addr: ":443",
Handler: beego.BeeApp.Handlers,
TLSConfig: &tls.Config{
MinVersion: tls.VersionTLS12,
CipherSuites: []uint16{
tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
},
PreferServerCipherSuites: true,
},
}
srv.ListenAndServeTLS("cert.pem", "key.pem")
哪些安全响应头必须通过 Filter 注入
Beego 没有内置安全头中间件，所有关键防护头都得靠 InsertFilter 手动写。漏掉任意一项都可能导致 XSS、MIME 类型混淆或点击劫持：
-
X-Content-Type-Options: nosniff防止浏览器 MIME 类型嗅探，尤其对用户上传文件有效 -
X-Frame-Options: DENY或SAMEORIGIN，禁用 iframe 嵌套，防点击劫持（ALLOW-FROM已被现代浏览器弃用） -
Strict-Transport-Security: max-age=31536000; includeSubDomains强制浏览器后续请求走 HTTPS，但仅在 HTTPS 下生效 - 不要设置
X-XSS-Protection—— Chrome 已废弃，且可能触发兼容性问题 - 避免在非 HTTPS 下设置 HSTS，否则会被忽略甚至报错
过滤器应插在 BeforeRouter 阶段，确保所有路径（包括静态资源）都被覆盖：
beego.InsertFilter("/*", beego.BeeApp.FilterTypeBeforeRouter, func(ctx *context.Context) {
ctx.ResponseWriter.Header().Set("X-Content-Type-Options", "nosniff")
ctx.ResponseWriter.Header().Set("X-Frame-Options", "DENY")
ctx.ResponseWriter.Header().Set("Strict-Transport-Security", "max-age=31536000; includeSubDomains")
ctx.Next()
})
调试模式与错误信息泄露风险
Beego 在 app.conf 中的 runmode = dev 会开启 panic 页面、SQL 日志全量打印、路由树暴露 —— 这些在生产环境等同于向攻击者提供侦察地图：
- 必须将
runmode设为prod，并确认copyrequestbody = true（否则中间件无法读取原始 body） -
autorender = false可禁用模板自动渲染，避免未处理错误返回 HTML 堆栈 - 关闭
showsql = true，GORM 的 SQL 日志若打到 stdout，在容器日志中极易被采集 - 自定义
RecoverPanic中间件，替换默认 panic 页面为统一 500 响应，不返回源码行号或变量值
特别注意：beego.BeeApp.RecoverFunc 仅控制 panic 捕获逻辑，不控制错误页面内容；真正要隐藏堆栈，得重写 beego.ExceptionHandler 或在 Filter 中拦截 status >= 500 的响应体。
最容易被忽略的是：Beego 的 app.conf 文件若未从构建镜像中移除，或被误配为可被 Web 访问（如放在 static/ 下），会导致数据库密码、API 密钥等明文泄露。上线前务必检查配置文件路径和 HTTP 路由规则。
