管理 golang 项目中的敏感配置应优先使用环境变量和加密手段。1. 使用环境变量分离敏感信息，避免硬编码并降低泄露风险；2. 对必须存储在文件中的敏感数据进行加密，如 aes-gcm 或 rsa 加密，并通过环境变量管理解密密钥；3. 结合配置文件与环境变量区分开发与生产环境配置，利用 viper 等库实现自动替换和加载，保持配置结构统一且安全。这些方法共同保障了配置的安全性和可维护性。
在 golang 项目中，管理敏感配置（如数据库密码、API 密钥等）是保障应用安全的重要一环。直接将这些信息写在代码里或者配置文件中，不仅容易泄露，也增加了维护成本。推荐的做法是结合环境变量和加密手段来处理敏感信息。
下面从几个常见场景出发，说说怎么更稳妥地管理敏感配置。
使用环境变量分离敏感信息
把敏感数据放在环境变量中是最基础也是最常用的做法。这样可以避免把这些信息提交到代码仓库里，降低泄露风险。
立即学习“go语言免费学习笔记（深入）”；
- 启动应用前，在运行环境中设置好相关变量，比如：
export DB_PASSWORD=mysecretpassword
- 在 Go 程序中通过 os.Getenv(“DB_PASSWORD”) 来获取值。
这种方式的好处是简单灵活，适用于本地开发、测试和生产环境。但要注意的是，不要在代码中硬编码默认值或示例值，否则可能会被误用或提交到版本控制中。
如果你使用像 docker 或 kubernetes 这样的部署方式，也可以通过配置文件或 Secret 对象来注入环境变量，进一步提升安全性。
敏感配置加密存储的几种方案
有些时候，我们不得不把某些配置保存在文件中，比如微服务架构下的配置中心，或者需要集中管理多个服务的配置。这时候就需要对配置内容进行加密。
常见的做法是在配置文件中存放加密后的字符串，程序运行时再解密使用。例如：
database: password: ENC(AES256, encrypted_data_here)
然后在程序启动时解析这个字段，并根据前缀 ENC() 判断是否需要解密。
实现这种机制的关键点有：
需要注意的是，加密虽然提升了安全性，但也增加了复杂度。不是所有场景都需要加密，只有在配置文件可能暴露给不信任方的时候才真正必要。
开发与生产环境配置管理建议
不同环境下使用的配置往往不一样，比如本地开发用 sqlite，生产环境用 mysql。为了简化切换流程，可以采用“配置文件 + 环境变量”的组合方式。
举个例子：
- 配置文件定义结构和非敏感字段：
database: host: localhost port: 3306 user: root password: ${DB_PASSWORD}
- 实际运行时通过环境变量注入敏感值。
这样做的好处是配置文件可以提交到 git 中，而不会暴露敏感信息。同时，还能保持结构清晰，便于维护。
如果你使用像 Viper 这样的配置库，它本身就支持自动替换 ${VAR_NAME} 的语法，非常方便。
此外，还可以根据 APP_ENV=dev|prod 来加载不同的配置文件，比如 config.dev.yaml 和 config.prod.yaml，让环境切换更加自动化。
基本上就这些了。Golang 管理敏感配置的核心思路就是：别把秘密写进代码，能用环境变量就尽量用；需要持久化时记得加密，配置结构尽量统一和可扩展。这些做法虽然看起来简单，但真正在项目里落实到位，其实也不太容易。
