本文介绍在 Go 文档服务器（godoc）中彻底屏蔽源码查看功能的实用方案，重点推荐通过反向代理限制 /src 路径的生产级做法，并提供 Nginx 配置示例与注意事项。
本文介绍在 go 文档服务器（godoc）中彻底屏蔽源码查看功能的实用方案，重点推荐通过反向代理限制 `/src` 路径的生产级做法，并提供 nginx 配置示例与注意事项。
Go 自带的 godoc 工具是团队内部构建轻量级 API 文档站的常用选择，尤其适合已遵循标准注释规范（如 // Package, // Type, // Func）的项目。但默认的 godoc -http=:8090 启动方式会完整暴露 /pkg、/src、/ref 等路径——这意味着任意访问者均可点击类型名跳转至源码，甚至直接通过 http://host:8090/src/fmt/print.go 查看原始文件，对面向第三方共享文档的场景构成安全与知识产权风险。
值得注意的是，早期 Go 版本（如问题中提到的 1.3）及后续多个版本中，-src=false 和 -links=false 仅作用于命令行模式（godoc fmt Println），对 HTTP 服务器模式完全无效。官方 godoc 服务未提供内置开关来禁用源码路由或移除源码链接，因此需采用外部策略实现目标。
✅ 推荐方案：Nginx 反向代理 + 路径拦截（最稳健）
这是无需修改 Go 源码、不依赖模板定制、且可快速上线的生产就绪方案。核心思路是：让 godoc 正常运行（如监听 localhost:6060），再通过 Nginx 作为前置网关，精确拦截所有 /src 开头的请求，返回 403 Forbidden 或重定向到文档首页。
以下为典型 Nginx 配置片段（保存为 /etc/nginx/conf.d/godoc.conf）：
server {
listen 80;
server_name doc.example.com;
location / {
proxy_pass http://127.0.0.1:6060;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
# ? 严格禁止外部访问源码路径
location ^~ /src/ {
return 403 "Source code access is disabled.";
}
# 可选：同时屏蔽 /debug、/play 等非必要端点
location ^~ /debug/ { return 404; }
location ^~ /play/ { return 404; }
}配置后执行 sudo nginx -t && sudo systemctl reload nginx 即可生效。此时：
- https://doc.example.com/pkg/fmt/ → 正常显示文档（含类型、函数说明）
- https://doc.example.com/src/fmt/print.go → 返回 403 Forbidden
- 所有文档页内的源码链接（如 func Println 右侧的 [src]）仍存在，但点击后将触发 403，用户无法获取实际代码
⚠️ 注意事项：
- 确保 godoc 进程绑定到 127.0.0.1:6060（而非 0.0.0.0:6060），避免绕过 Nginx 直连；
- 若需内部员工保留源码访问权限，可结合 IP 白名单（allow 192.168.1.0/24; deny all;）或 HTTP Basic Auth；
- Go 1.13+ 已弃用 godoc 命令，建议升级至 golang.org/x/tools/cmd/godoc（需 go install golang.org/x/tools/cmd/godoc@latest），其行为一致，同样适用本方案。
❌ 其他方案对比说明
- 修改模板（Template Patch）：需定位 godoc 的 HTML 模板（如 src/cmd/godoc/static/play.html），移除 [src] 链接并禁用 /src/* 路由逻辑。但维护成本高，且无法阻止手动构造 URL 的访问，不推荐。
- 静态导出 + Web 服务器：使用 godoc -html -goroot . > docs.html 生成静态页，虽彻底无源码，但失去包索引、搜索、跨包跳转等核心能力，实用性低。
- 自行 Fork 并修改源码：需深入 cmd/godoc 的 HTTP handler 层，增加路由守卫和模板条件渲染。适合有长期定制需求的团队，但需持续同步上游更新，投入产出比低。
综上，反向代理拦截 /src 是平衡安全性、稳定性与实施效率的最优解。它不侵入 Go 工具链，符合 DevOps 最小改动原则，且能与现有认证、日志、HTTPS 等基础设施无缝集成。对于需要对外发布精简版 Go 文档的团队，此方案应作为标准部署实践。
