Golang日志在CentOS中的安全策略有哪些

Golang日志在CentOS中的安全策略

一 身份与权限最小化

• 以最小权限的系统账号运行服务（如创建专用用户myapp，禁止交互式登录），避免使用root直接写日志。
• 日志目录与文件权限遵循“目录仅管理员可写、日志文件仅属主与属组可读写”的原则：
  • 建议目录：/var/log/myapp，权限0750，属主root:myapp
  • 建议日志文件：/var/log/myapp/app.log，权限0640，属主root:myapp
• 在Go中创建目录与文件时显式设置权限，避免依赖系统umask：
  • 目录：os.MkdirAll(“/var/log/myapp”, 0750)
  • 文件：os.OpenFile(“/var/log/myapp/app.log”, O_CREATE|O_WRONLY|O_APPEND, 0640)
• 避免使用过于宽松的权限（如0666），防止其他用户读取或篡改日志。

二 输出与轮转策略

• 生产环境优先输出到标准输出/标准错误，由systemd或容器平台统一采集，减少文件直接暴露面；开发/调试阶段可输出到文件便于排查。
• 使用logrotate集中管理日志轮转、压缩与保留，示例配置：
  • 路径：/var/log/myapp/app.log
  • 策略：daily、rotate 7、compress、missingok、notifempty、create 640 root myapp
• 在应用内也可使用lumberjack进行按大小/时间滚动（便于容器或无systemd场景）：
  • MaxSize 5 MB、MaxBackups 3、MaxAge 28 天、Compress true。

三 系统日志与集中审计

• 将关键业务日志通过syslog发送到系统日志服务（rsyslog），利用系统级权限与审计能力：
  • Go示例：使用log/syslog连接本地LOG_USER设施，设置LOG_PID等选项，统一由**/var/log/messages**或自定义设施收集。

四 SELinux与最小访问面

• 启用并正确配置SELinux：仅允许日志相关进程对日志目录/文件具有追加/写入等必要权限，其他主体不可访问。
• 常用检查与设置方法：
  • 查看文件/目录上下文：ls -Z /var/log/myapp
  • 查看进程上下文：ps -eZ | grep myapp
  • 必要时调整上下文（示例）：chcon -t var_log_t /var/log/myapp /var/log/myapp/app.log
  • 使用semanage fcontext持久化路径上下文，用semodule管理自定义策略模块，确保策略与业务变更同步更新。

五 敏感信息与加密

• 避免在日志中记录密码、密钥、令牌、个人敏感数据；必要时进行脱敏/哈希后再写入。
• 对离线归档或备份的日志，可在写入后或归档前使用对称加密（如AES-CFB）进行加密，密钥16/24/32字节且妥善管控；在线写入场景建议结合磁盘/文件级加密与访问控制共同保障。