| 风险类型 | 具体表现 | 应对措施 |
|---|---|---|
| 注入攻击 | SQL注入、模板注入（如执行恶意代码） | - 使用参数化查询、ORM框架 - 用 html/template自动转义HTML- 白名单过滤用户输入 |
| 跨站攻击 | XSS（跨站脚本）、CSRF（跨站请求伪造） | - 设置Content-Security-Policy- 使用CSRF令牌 - 对输出内容进行转义 |
| 依赖漏洞 | 第三方库存在已知漏洞（如CVE-2024-24783、CVE-2024-9355） | - 定期更新依赖（go mod tidy）- 使用 govulncheck扫描漏洞- 锁定依赖版本 |
| 配置不当 | 敏感信息硬编码、权限过高 | - 使用环境变量或配置文件管理敏感数据 - 遵循最小权限原则配置文件和目录权限 |
| 资源滥用 | 拒绝服务（DoS）、内存耗尽 | - 限制请求速率（限流） - 校验输入长度，防止超大内存分配 - 启用竞态检测（ go build -race） |
sudo限制权限。firewalld或ufw限制服务端口，仅开放必要访问。crypto/rand生成随机数）。参考来源：[1,2,3,4,5,6,7,8,9,10]