Kratos config 不支持 {cipher} 前缀解密，因其设计为“加载即解析”，无解密钩子；需在 Scan() 后手动遍历结构体字段或自定义 Decoder 实现透明解密，同时注意日志脱敏、内存清零与密钥轮换。
Kratos 本身不内置配置加密能力，得靠组合配置源 + 自定义解密逻辑实现密文存储与透明解密
为什么 Kratos config 组件不直接支持 {cipher} 前缀解密？
Kratos 的 config 模块设计是“加载即解析”，它把配置源（如 YAML、环境变量）读进来后直接反序列化进结构体，没有预留类似 Spring Cloud Config 那种带前缀识别 + 中间件式解密的钩子。所以像 {cipher}AesBase64:xxx 这类标记，config.Scan() 会原样塞进字段，不会自动触发解密。
这意味着：你不能指望 config.New(...).Scan(&bc) 自动把密文变明文；必须在配置加载后、业务使用前手动介入。
- 常见错误现象：配置里写
password: "{cipher}xxx"，启动后日志打印出{cipher}xxx，数据库连不上 - 根本原因：Kratos 不识别该语法，也无默认解密器
- 可行路径只有两条：一是在
Scan()后遍历结构体字段做后处理；二是改用自定义config.Decoder在解析阶段拦截
如何在 Scan() 后对敏感字段做透明解密？
推荐在 Scan() 成功后，立即对已加载的结构体执行递归解密扫描——尤其适合密码、API Key 等固定字段名场景。
示例逻辑（伪代码）：
var bc conf.Bootstrap
if err := c.Scan(&bc); err != nil {
panic(err)
}
// 解密 data.mysql.password、data.redis.password 等字段
decryptConfigFields(&bc)
其中 decryptConfigFields 可基于字段标签（如 json:"password,omitempty" decrypt:"true"）或路径匹配（如正则匹配 .*\.password$）定位需解密字段，并调用 AES/RSA 解密函数。
- 密钥来源必须外部化：从
ENCRYPT_KEY环境变量读，或通过 KMS API 动态获取，严禁硬编码 - 解密失败必须 panic 或 log.Fatal：避免服务静默带错配置运行
- 注意结构体嵌套：如
bc.Data.MySQL.Password是指针或值类型会影响反射取值逻辑
能不能让 config.Load() 阶段就解密？用自定义 Decoder
可以。实现 config.Decoder 接口，在 YAML/JSON 字节流解析为 map 或 struct 前完成解密，更彻底，但侵入性略高。
关键点：
- 先用标准 YAML 解码器（如
yaml.Unmarshal）转成map[string]interface{} - 递归遍历该 map，对所有值为字符串且以
{cipher}开头的项，调用解密函数替换为明文 - 再将清洗后的 map 交给
mapstructure.Decode或其他方式绑定到结构体 - 注册时传给
config.New(config.WithDecoder(yourDecoder))
这样 Scan() 拿到的就是已解密结果，业务层完全无感。但要注意：yourDecoder 必须兼容所有支持的格式（YAML/JSON/TOML），且不能破坏原始类型（如布尔、数字字段误被当字符串处理）。
生产环境必须绕开的坑
配置加密不是加个前缀就完事，几个容易被忽略的点：
- 日志泄露：解密后的密码如果被
fmt.Printf("%+v", &bc)打印，或被 zap/zapcore 默认字段 dump 出来，等于白加密 —— 要用zap.String("password", "***")显式脱敏 - 内存残留：Go 的字符串不可变，但解密中间的
[]byte若未显式bytes.Zero清零，可能残留在 GC 前的堆内存中 - 密钥轮换：旧密文需兼容解密，建议在密文里嵌入密钥版本号（如
{cipher:v2}xxx），解密器按版本路由到对应密钥 - K8s Secret 注入限制：若用
Secret挂载密文文件，文件内容仍是明文（只是权限受限），此时加密意义不大；更适合把密文存在 ConfigMap + 外部 KMS 解密
最简落地路径：环境变量传密钥 + Scan 后结构体遍历解密 + 日志/panic 全链路脱敏。复杂度可控，也足够应对多数生产场景。
