Go 微服务如何防止 JWT 伪造和篡改
JWT 不是“发出去就安全”的凭证，Go 服务端若只用 jwt.Parse 而不校验签名、不绑定 aud 和 iss，攻击者可重放或修改 payload 后重签（尤其用 HS256 且密钥泄露时）。
- 必须使用
jwt.ParseWithClaims并传入自定义jwt.Keyfunc，确保每次解析都动态加载密钥（避免硬编码或全局复用） - 强制校验
aud（目标服务名）、iss（颁发方）、exp（短时效，建议 ≤15min），拒绝任何缺失或不匹配的 token - HS256 密钥长度至少 32 字节；若跨服务共享密钥，优先换用 RS256，私钥只存于认证服务，公钥由其他服务定期从
/.well-known/jwks.json拉取 - 不要在 JWT 中塞敏感字段（如权限列表），应只放用户 ID，权限查数据库或本地缓存——否则一旦 token 泄露，权限无法实时撤销
Go HTTP 客户端调用下游服务时如何防 SSRF
微服务间常用 http.Client 发起内部调用，但若请求 URL 来自用户输入（如 webhook 地址、回调地址），可能被诱导访问内网地址（127.0.0.1、10.0.0.0/8），绕过鉴权直连数据库或配置中心。
- 禁用
http.DefaultClient，所有出向 client 显式设置Transport，并启用custom DialContext做域名/IP 白名单校验 - 用
net.ParseIP+privateIP.IsPrivate()检查解析后的 IP，直接拒绝私有网段；对域名做 DNS 解析后校验（不能只看字符串是否含.local） - 上游服务若需传 URL，应限制协议为
https，禁止http、file、ftp等非标准 scheme - Kubernetes 环境下，可配合 NetworkPolicy 限制 Pod 出向流量，但 Go 层仍需做第一道校验——策略不可替代代码逻辑
Go gRPC 服务如何启用双向 TLS（mTLS）并验证对端身份
默认 gRPC 是明文通信，即使走内网也不保险；单纯靠服务发现或 RBAC 无法阻止中间人窃听或伪造请求。mTLS 是最直接的链路层防护手段。
- 服务端初始化
grpc.Creds必须用credentials.NewTLS，传入含Certificates和ClientAuth的tls.Config，且ClientAuth设为tls.RequireAndVerifyClientCert - 客户端连接时也要传
credentials.NewTLS，且ServerName必须与服务端证书的Subject.CommonName或DNSNames严格一致，否则握手失败 - 服务端通过
peer.FromContext(ctx)获取对端证书，用x509.VerifyOptions校验其是否由可信 CA 签发，并检查Subject.Organization是否为预设值（如"myorg-services"） - 别把 CA 证书写死在代码里；推荐用 init container 挂载到容器内，或通过 Vault 动态拉取——否则证书轮换要重启服务
Go 服务日志和错误响应中如何避免信息泄露
调试时打印完整 error、堆栈、SQL 查询或请求体，上线后就成了攻击者的侦察地图；一个 500 Internal Server Error 响应里带 panic: pq: password authentication failed，等于告诉对方这是 PostgreSQL 且密码错了。
立即学习“go语言免费学习笔记（深入）”；
- 生产环境关闭
debug模式，Gin/Echo 等框架的gin.ReleaseMode或echo.SetDebug(false)必须开启 - 所有对外返回的 error，统一用
fmt.Errorf("internal error")包裹，原始 error 只记日志（且日志中敏感字段如 password、token、key 要用zap.String("user_id", uid)替代zap.Any("req", req)） - HTTP 错误响应体禁用
http.Error(w, err.Error(), http.StatusInternalServerError)，改用结构化 JSON：json.NewEncoder(w).Encode(map[string]string{"error": "server error"}) - 日志采集器（如 Loki）若支持字段过滤，应在 agent 层就剔除
trace_id以外的上下文敏感字段——日志落地后再脱敏已晚
微服务的安全性不在某个开关或库，而在每个网络边界、每次反序列化、每条日志输出前的那一次判断：这个数据，该不该出来？能不能被信任？很多漏洞不是因为不会写，而是某次“先跑通再说”的提交里，漏掉了那个 if !isValidIP(ip) { return }。
