-
Go 的 crypto/mlkem 把 ML-KEM 密钥分成私有的 DecapsulationKey 和公开的 EncapsulationKey。本文说明 GenerateKey、Bytes、New*Key 的对应关系，并整理 768/1024 参数集的序列化长度与工程基线。
-
runtime.SetFinalizer 的触发时机无法承担确定性资源释放。本文从显式 Close、runtime.AddCleanup 和 runtime.KeepAlive 三个边界出发，说明如何替代不及时的 finalizer，并处理父子资源、并发关闭和 cgo 指针规则。
-
Go 的 crypto/hpke 用 aad 把租户、版本和消息序号等公开字段绑定到密文认证范围。本文区分 info 与 aad，给出 Sender.Seal/Recipient.Open 的实现方式，并说明上下文计数器、消息顺序和重放处理的边界。
-
runtime.SetFinalizer 只能为持有 C 资源的 Go wrapper 提供不确定的释放兜底，不能替代显式 Close。本文用生命周期状态、cgo 指针规则和 runtime.KeepAlive 说明如何避免提前释放、重复释放与关闭顺序错乱。
-
Go 1.26 起标准库提供 crypto/hpke，但 KEM、KDF、AEAD 不是可以任意拼接的三个下拉框。本文从兼容性、后量子迁移、硬件环境和应用用途出发，给出 DHKEM、ML-KEM、混合 KEM、HKDF、SHAKE、AES-GCM 与 ChaCha20-Poly1305 的选择思路，并用 Seal/Open 示例固定一套可复查的配置。
-
Go 1.26 的 crypto/hpke 同时提供一次性 Seal/Open 与有状态 Sender/Recipient。本文用连续消息流程说明 enc、info、AAD、nonce 计数器和消息顺序的复用边界，帮助你选对上下文生命周期。
-
Go 的 runtime.SetFinalizer 只在对象不可达后安排清理，函数里的最后一次使用不一定能把对象保活到系统调用结束。本文用非内存句柄场景拆解对象可达性、runtime.KeepAlive 的放置位置、finalizer 的边界与工程选型。
-
time.Duration 本质是 int64 纳秒计数，乘法、单位换算或退避累加一旦超出约 290 年范围就可能回绕成负数或异常的小值。本文从定时任务故障场景出发，给出边界判断、饱和乘法和定时器接入的 Go 实现。
-
围绕 Go net/url 的 URL.OmitHost 字段，说明空 authority 的 String 序列化、Path 双斜杠保护、Opaque URL 区别和调用方兼容策略，给出带中文注释的最小示例。
-
同一个无时区日期在不同机器上出现一天偏移，通常不是日期字符串变了，而是解析位置没有明确。本文从 time.Parse 的 UTC 默认行为出发，说明 time.ParseInLocation 如何绑定 Location，并处理显式偏移、时区缩写、IANA 时区加载和夏令时边界。
-
Go 的 URL 查询参数同时存在原始字符串和解码后的值。本文用 net/url 拆开 RawQuery、Query 与 ParseQuery 的差异，处理重复键、加号、分号和异常百分号，并给出适合签名、缓存、审计和业务筛选的选择方式。
-
time.Parse 遇到 MST、CST、PST 等时区缩写时，会受 Local 和缩写是否已知影响。本文用 Zone、Location 和 ParseInLocation 拆开定位方法，并给出更稳定的数值偏移解析方案。
-
Go 的 net/url 会把路径解码后放入 Path，RawPath 只是可选的编码提示。本文用转义斜杠示例说明 EscapedPath 何时保留 RawPath，以及手动构造 URL 时如何避免提示失效。
-
反复调用 regexp.MatchString 时，包级函数会把正则编译带进热路径。本文拆开调用链，给出固定模式与动态模式两种缓存设计，并处理并发、编译失败和容量边界。
-
Go 用 os/exec 启动外部命令时，Cmd.Dir 可以固定子进程的工作目录，让命令稳定解析相对配置、输入和输出路径。本文从路径归属、相对可执行文件、Env/PWD 和启动错误几个证据入手，给出可直接改造的写法。
