Go 应用安全：初学者必知的十大漏洞

Go应用安全：初学者必知的十大漏洞

Go（Golang）以其性能和内置安全机制（如强类型和自动内存管理）而闻名。然而，与其他语言一样，它并不能保护开发者免于逻辑错误、不当输入处理或不安全配置。在本文中，我们将剖析十大漏洞，这些是Go初学者最常遇到的问题，并展示如何避免它们。

1. SQL注入

最常见的Web应用漏洞。当用户输入直接拼接到SQL查询中时就会发生。

危险代码：

username := r.URL.Query().Get("username")query := fmt.Sprintf("SELECT * FROM users WHERE name='%s'", username)rows, err := db.Query(query)

安全代码（使用参数化查询）：

username := r.URL.Query().Get("username")query := "SELECT * FROM users WHERE name=$1"rows, err := db.Query(query, username)

提示：始终根据数据库使用占位符（$1、?或@p1）。切勿使用fmt.Sprintf和用户数据构建查询。

2. 跨站脚本攻击（XSS）

当应用在HTML代码中显示未验证的用户输入时，就会发生此漏洞。在Go中，这通常发生在使用html/template而未进行转义时。

危险代码：

tmpl := template.Must(template.New("page").Parse("<h1>{{.}}</h1>"))tmpl.Execute(w, r.URL.Query().Get("name")) // <script>alert('xss')</script>

内置的html/template包会自动转义输出，因此在标准情况下你是受到保护的。但要注意template.HTML函数——它会禁用转义。

安全方法：仅对文本数据使用text/template，对于Web应用请使用html/template。除非绝对必要，否则避免使用template.HTML。

3. 竞态条件

Go大量使用goroutine，如果多个goroutine在没有同步的情况下同时读写同一变量，就会发生数据竞争。这可能导致应用状态错误和数据泄露。

危险代码：

var counter intfor i := 0; i < 1000; i++ {    go func() {        counter++ // 不安全！    }()}

安全代码（使用互斥锁）：

var (    counter int    mu      sync.Mutex)for i := 0; i < 1000; i++ {    go func() {        mu.Lock()        counter++        mu.Unlock()    }()}

提示：处理共享数据时，始终使用sync.Mutex、sync.RWMutex或原子操作（sync/atomic）。运行测试时加上-race标志以检测竞争。

4. 路径遍历

此漏洞允许攻击者使用../字符读取允许目录之外的文件。

危险代码：

filename := r.URL.Query().Get("file")data, _ := os.ReadFile("/data/" + filename) // /data/../../etc/passwd

安全代码（路径清理）：

filename := r.URL.Query().Get("file")cleanPath := filepath.Clean("/data/" + filename)if !strings.HasPrefix(cleanPath, "/data/") {    http.Error(w, "Invalid path", http.StatusBadRequest)    return}data, _ := os.ReadFile(cleanPath)

提示：使用