Golang在Debian上的安全注意事项

系统层面安全基线

• 保持系统与软件包为最新：执行sudo apt update && sudo apt upgrade -y，及时修补漏洞；为长期安全，启用unattended-upgrades以自动安装安全更新。
• 最小权限与专用账户：避免使用root直接开发或运行服务，创建普通用户并加入sudo组；为服务创建专用系统用户（不可登录、家目录受限）。
• 加固 SSH：使用SSH 密钥认证，禁用root 远程登录（设置PermitRootLogin no），禁止空密码，仅允许受控用户登录。
• 边界防护：启用UFW或iptables，仅放行必要端口（如22/80/443），默认拒绝其他入站；必要时限制来源网段。
• 日志与审计：集中关注**/var/log/auth.log等认证与安全日志，配合GoAccess/Awstats**等进行可视化与告警。

Go 运行环境与依赖管理

• 安装方式取舍：优先使用Debian 官方仓库的 golang 包以便获得与系统一致的安全更新；若需特定版本，可从官方安装包解压至**/usr/local并配置GOROOT/PATH**，避免与系统包混用引发冲突。
• 工具链与版本：如需多版本管理，可使用gvm；无论采用何种方式，保持Go 版本与依赖的及时更新，降低已知漏洞风险。
• 依赖安全：启用govulncheck等漏洞扫描，定期审计第三方模块；为构建产物设置** reproducible builds与校验和**留存，避免供应链攻击。

应用代码与运行时安全

• 输入校验与输出编码：对所有外部输入进行严格校验与上下文输出编码，防范SQL 注入、XSS等常见漏洞。
• 安全构造查询：使用参数化查询/ORM（如database/sql配合占位符或GORM）而非字符串拼接，杜绝SQL 注入。
• Web 防护：为表单与状态变更接口启用CSRF防护（如gorilla/csrf）；设置安全头部（如Content-Security-Policy、X-Frame-Options、X-XSS-Protection、Strict-Transport-Security）。
• 认证与口令存储：使用bcrypt/scrypt/Argon2或PBKDF2存储口令，配合随机盐与恒定时间比较（如subtle.ConstantTimeCompare）；启用多因素认证与限流/验证码抵御暴力与滥用。
• 并发与内存安全：避免数据竞争，对共享状态使用sync.Mutex/sync.RWMutex或sync.Map；谨慎处理unsafe与cgo，减少攻击面。

进程运行与最小权限

• 以服务方式运行：使用systemd托管进程，配置非特权用户、工作目录、标准输出/错误日志、重启策略（如Restart=always），并限制OOMScoreAdj与CPU/内存额度。
• 端口与权限：若需绑定80/443等特权端口，优先通过反向代理/负载均衡（如 Nginx/HAProxy）在前端监听，后端 Go 程序使用非特权端口；如确需程序直接监听低端口，可使用setcap授予CAP_NET_BIND_SERVICE能力，避免以root运行或依赖setuid的不确定行为。
• 最小能力原则：仅授予运行所必需的Linux 能力与文件系统权限，关闭不必要的环境变量与命令行参数暴露。

部署与运维安全清单