Go HTTP服务防注入需在每处使用点做上下文校验：SQL用参数化查询，HTML用html/template自动转义，JSON用结构体tag，文件路径用filepath.Clean+白名单校验。
如何防止 Go HTTP 服务被常见注入攻击
Go 的 net/http 默认不自动过滤或转义用户输入，所有来自 req.URL.Query()、req.FormValue()、req.Body 的数据都应视为不可信。防护核心不是“拦截恶意字符串”，而是“在每个使用点做上下文敏感的校验与转义”。
- 对 SQL 查询：始终用
database/sql的参数化查询（db.Query("SELECT * FROM users WHERE id = ?", id)），禁用字符串拼接 - 对 HTML 输出：渲染模板时用
html/template（自动转义），而非text/template - 对 JSON 响应：确保结构体字段有
json:tag，且不直接将用户输入拼进fmt.Sprintf生成的 JSON 字符串中 - 对文件路径：若需根据参数读取文件，用
filepath.Clean()+ 白名单目录前缀校验，例如path := filepath.Join("/var/www/static", filepath.Clean(filename))<br>if !strings.HasPrefix(path, "/var/www/static/") {<br> http.Error(w, "Forbidden", http.StatusForbidden)<br> return<br>}
如何正确配置 Go HTTP Server 的安全头
Go 标准库不默认设置安全响应头，需手动注入。这些头对缓解 XSS、点击劫持、MIME 类型混淆等至关重要，但顺序和值错误反而会破坏功能。
-
X-Content-Type-Options: nosniff防止浏览器 MIME 类型猜测——必须严格设为nosniff，多一个空格或大小写错误都会失效 -
X-Frame-Options: DENY或SAMEORIGIN控制是否允许 iframe 嵌入；若用Content-Security-Policy，则此头可省略 -
Content-Security-Policy是最有效的 XSS 防御手段，但策略过严会导致资源加载失败；建议从宽松起步，如"default-src 'self'; script-src 'self' 'unsafe-inline'"，再逐步收紧 - 务必在所有 handler 中统一设置，推荐用中间件：
func securityHeaders(next http.Handler) http.Handler {<br> return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {<br> w.Header().Set("X-Content-Type-Options", "nosniff")<br> w.Header().Set("X-Frame-Options", "DENY")<br> w.Header().Set("Content-Security-Policy", "default-src 'self'")<br> next.ServeHTTP(w, r)<br> })<br>}
如何安全地处理用户上传的文件
文件上传是高危操作，Go 没有内置的“安全上传”封装，req.ParseMultipartForm 仅解析表单，不校验内容。风险集中在文件名、类型、大小、存储路径四方面。
- 永远忽略客户端传来的
Content-Type和文件扩展名，用file.Header.Peek(0)读取魔数（magic bytes）判断真实类型，例如 PNG 文件开头是89 50 4E 47 - 重命名文件：用随机 ID（如
uuid.NewString()）+ 固定扩展名（从魔数推断），绝不用原始filename - 限制单个文件大小：在
ParseMultipartForm(maxMemory)中设合理上限（如32 表示 32MB），并检查 <code>file.Size - 存储路径必须与用户输入隔离：上传目录不能是 Web 可访问路径，且禁止写入系统目录（如
/etc、/root）
为什么 Go 的 cookie 默认不安全，以及如何修复
Go 的 http.SetCookie 默认创建的是非 HttpOnly、非 Secure、无 SameSite 的 cookie，极易被 XSS 窃取或 CSRF 利用。
立即学习“go语言免费学习笔记（深入）”；
- 登录态 cookie 必须设
HttpOnly: true（阻止 JS 读取）、Secure: true（仅 HTTPS 传输）、SameSite: http.SameSiteStrictMode或http.SameSiteLaxMode - 避免在 cookie 中存敏感信息（如密码、token 明文）；session ID 应映射到后端存储（Redis / DB），且 session 过期时间要短
- 若需跨站子域共享 cookie，
Domain字段必须显式指定（如.example.com），且不能是顶级域名（如.com） - 示例：
cookie := &http.Cookie{<br> Name: "session_id",<br> Value: sessionID,<br> Path: "/",<br> HttpOnly: true,<br> Secure: true,<br> SameSite: http.SameSiteStrictMode,<br> MaxAge: 3600,<br>}<br>http.SetCookie(w, cookie)
安全不是加个中间件就一劳永逸的事。Go 的简洁性意味着它把控制权完全交给你——每个 req.FormValue、每处 io.WriteString、每次 os.OpenFile，都是需要你主动决策信任边界的现场。
