secret 值转成 string 后保护能力为什么会丢失

这个现象的根因不是 string 类型突然失去“安全属性”，而是敏感值在转换或返回时产生了一个新的普通 Go 对象。runtime/secret.Do 只围绕回调的调用树处理寄存器、栈和堆临时存储；如果新建的字符串被带出回调，调用者还持有它的引用，运行时就不能在 Do 返回时把这块内存当成不可达临时数据擦掉。

官方地址：https://pkg.go.dev/runtime/secret

先把 runtime/secret 的保护边界划清

runtime/secret 是实验性标准库包，只有设置 GOEXPERIMENT=runtimesecret 时才存在；当前实现只在 Linux 的 amd64 和 arm64 上提供完整路径，其他平台会直接调用回调。它保护的是一次调用树产生的临时存储，不是给任意字符串附加一个永久的“保密类型”。

Do 返回前会擦除回调使用过的寄存器和栈；回调里的堆分配则要等程序放弃全部引用、垃圾回收器确认不可达后才会擦除。因此“离开 Do 就立即清零”这个理解本身就不准确。

string 转换为什么会改变生命周期

把字节转成字符串通常意味着得到一个新的字符串值。下面的写法把这个值从受保护调用树中带了出来：

package main

import "runtime/secret"

func leakLifetime(src []byte) string {
	var out string
	secret.Do(func() {
		// 转换结果可能在堆上分配，并被外层变量继续引用。
		out = string(src)
	})
	// out 仍然可达，所以不能期待 Do 返回时立即擦除它。
	return out
}

这里的关键不是“转换失败”，而是 out 让新字符串继续可达。若 src 本身在 Do 之前就由普通代码创建，转换前还已经存在一份原始副本；只包住转换语句并不能追溯清理那份外部数据。

把敏感计算收口在 Do 内部

如果结果只用于一次校验、派生或加密操作，最稳妥的方式是让使用点也留在回调里，不把字符串交给外部日志、缓存或配置对象：

func verifyToken(raw []byte, want []byte) bool {
	matched := false
	secret.Do(func() {
		// 敏感转换和比较都在同一调用树内完成。
		candidate := string(raw)
		matched = constantTimeCompare([]byte(candidate), want)
		// 不把 candidate 写入全局变量、日志或返回值。
	})
	return matched
}

func constantTimeCompare(a, b []byte) bool {
	if len(a) != len(b) {
		return false
	}
	var diff byte
	for i := range a {
		// 只累积差异，避免在比较中提前退出。
		diff |= a[i] ^ b[i]
	}
	return diff == 0
}

示例中的布尔值不是秘密材料，带出回调没有问题。真正需要审计的是字符串、字节切片、错误值和闭包捕获的结构体字段；它们一旦存进全局变量、长生命周期缓存或 panic 值，就不再是短暂的调用树内部对象。

正确的结果返回方式：调用者先准备空间

有些 API 必须返回计算结果。官方文档给出的思路是：如果结果不应该被擦除，就由调用者先创建承载结果的分配，再让回调把结果复制进去。这样可以清楚地区分“Do 内临时分配”和“调用者主动负责的结果”。

func deriveInto(dst []byte, src []byte) {
	secret.Do(func() {
		// 临时值只在 Do 内使用；dst 的生命周期由调用者负责。
		tmp := derive(src)
		if len(dst) >= len(tmp) {
			copy(dst, tmp)
		}
		// 不返回 tmp，也不把它挂到全局状态。
	})
}

func derive(src []byte) []byte {
	// 这里只表示派生过程，真实项目应使用经过评审的密码学实现。
	out := make([]byte, len(src))
	for i, v := range src {
		out[i] = v ^ 0x5a
	}
	return out
}

这不是自动脱敏方案：dst 仍然包含敏感结果，调用者必须规定清理时机，并避免日志、序列化、错误包装和调试打印把它复制到更多地方。

发布前的四项检查

1. 构建检查：确认目标构建确实启用了 GOEXPERIMENT=runtimesecret，并把不支持平台的直接调用视为降级路径。
2. 引用检查：搜索返回值、全局变量、缓存、goroutine、闭包和 panic 值，确认没有把敏感对象无意延长。
3. 复制检查：区分原始 []byte、string 转换结果和调用者预分配的目标空间，逐份决定清理责任。
4. 输出检查：禁止把敏感值放进日志、错误文本、指标标签、JSON 或调试 dump；runtime/secret 不负责替你遮蔽这些出口。

最后要记住：runtime/secret 的价值是缩短和擦除特定调用树中的临时存储，不是让所有 string 自动变成密钥容器。把 string 带出 Do 后，保护边界就随着引用一起转移给调用者。

相关问题

为什么设置了实验开关，Do 仍像普通函数一样执行？

先检查目标平台和最终构建环境。官方实现明确说明，非 Linux/amd64、Linux/arm64 时会直接调用回调；实验包也不受 Go 1 兼容性承诺保护。

把 string 重新转成 []byte 能恢复保护吗？

不能。重新转换只会再制造一个对象，无法追回此前已经存在的字符串副本；应从数据首次进入敏感调用树的位置重新设计生命周期。