因为Go字符串不可变，*string赋值仅改变指针指向，无法原地修改底层字节；真脱敏需转[]byte或用reflect，unsafe.String无写入能力。
为什么不能直接用 *string 做原地脱敏
因为 Go 的字符串是只读的底层字节数组（string 是不可变类型），哪怕你拿到 *string，解引用后得到的仍是只读副本。试图通过 *s = "xxx" 确实能改变量指向，但这只是让指针指向新分配的字符串，原内存没动——对调用方来说像“改了”，但若原始值来自结构体字段或切片元素，这种赋值根本不会影响原始数据结构里的那个位置。
- 常见错误现象：
func mask(s *string) { *s = "***" }调用后，结构体里的Name string字段依然明文 - 真正需要的是：修改原始内存中对应字节，而不是换一个字符串头
- 所以必须把目标转成
[]byte或用unsafe（不推荐）；更稳妥的是让调用方传入可寻址的字节切片
unsafe.String 不是为脱敏设计的，别碰它
Go 1.20+ 加了 unsafe.String，但它只是把 []byte 转成 string 的零拷贝桥接函数，**不提供反向写入能力**。有人误以为 “既然能从 byte 到 string 零拷贝，那也能从 string 到 byte 零拷贝”，这是错的——string 没法安全转回可写 []byte，除非你一开始就持有底层 []byte。
- 使用场景：仅限于你想避免一次
string→[]byte分配，且确定底层字节可写（比如你刚用make([]byte, n)分配的） - 参数差异：
unsafe.String(b []byte)中的b必须是临时、可控、未被其他地方引用的切片 - 容易踩的坑：对结构体里已存在的
string字段强行转[]byte，会触发 panic 或静默内存越界（取决于 GC 状态）
结构体字段脱敏必须传地址 + 显式转换
想改结构体里的敏感字段（比如 User.IDCard string），唯一可靠方式是：把字段地址传进去，再用 reflect 或手动拆解为字节操作。反射稍重但通用；手动则快但得按字段类型分支处理。
- 实操建议：优先用
reflect.ValueOf(&u).Elem().FieldByName("IDCard").SetString("***")—— 这不是“原地改字节”，而是替换整个字段值，但对调用方语义上就是“改了” - 如果真要字节级原地覆盖（比如审计日志要求不可回收明文内存），那就得让结构体字段本身定义为
[]byte，然后用copy(dst, "***") - 性能影响：反射有约 5–10x 开销，但脱敏本就不该高频；而
[]byte字段会让结构体变大、GC 压力略升
HTTP 请求体中的敏感字段怎么不留痕
HTTP handler 里读 req.Body 得到的是流式 io.ReadCloser，一旦读完就没了。想脱敏又不想重复解析，就得在读取时边解析边替换——比如用 json.Decoder 配合自定义 UnmarshalJSON 方法，或用 json.RawMessage 延迟解析。
立即学习“go语言免费学习笔记（深入）”；
- 常见错误现象：先
io.ReadAll(req.Body)解析成 map，再遍历 key 改 value，结果明文字符串还在内存里，GC 前可能被 dump 出去 - 正确做法：定义结构体字段为
json.RawMessage，在UnmarshalJSON方法里用json.Unmarshal解出敏感字段后立刻覆盖为掩码，再用json.Marshal写回RawMessage - 兼容性注意：别在中间件里全局 replace body，某些客户端（如 curl -d @file）可能发的是 chunked 编码，提前消费 body 会导致后续读取失败
SecureString，所有“原地”都依赖你对内存布局和 GC 行为的精确控制——而这恰恰是文档里几乎不提、调试器里看不见的部分。 
