Go 应用程序安全：十大漏洞

轻松学习Python，无需理论负担。在浏览器中直接解决带自动检查的实践任务，无需安装任何东西。

Go应用程序安全：十大常见漏洞

Go（Golang）是由谷歌开发的一种编译型、静态类型语言。凭借内置的并发支持、高性能和简洁的内存模型，它在构建微服务、API网关、云应用和DevOps工具方面广受欢迎。然而，与其他语言一样，Go也无法避免安全错误。开发人员常常依赖"默认安全"，这会导致严重漏洞。本文将解析Go应用程序中十大最关键的安全问题，并展示如何避免它们。

1. SQL注入

尽管Go提供了强大的数据库驱动（database/sql），但开发人员在构建查询时常常犯字符串拼接的经典错误。

存在漏洞的代码：

package main

import (    "database/sql"    "fmt"    _ "github.com/lib/pq")

func getUser(db *sql.DB, username string) {    // 永远不要这样做！    query := fmt.Sprintf("SELECT * FROM users WHERE username = '%s'", username)    rows, _ := db.Query(query)    // ...}

解决方案：使用参数化查询（预编译语句）。

func getUserSafe(db *sql.DB, username string) {    query := "SELECT * FROM users WHERE username = $1"    rows, err := db.Query(query, username)    if err != nil {        // 处理错误    }    // ...}

参数化会自动转义特殊字符，使注入无法实现。

2. 跨站脚本攻击（XSS）

Go常用于Web应用的服务器端。如果在返回用户输入时没有进行转义，就会为XSS攻击打开大门。

存在漏洞的代码（使用fmt.Fprintf）：

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {    name := r.URL.Query().Get("name")    fmt.Fprintf(w, "<h1>Hello, %s!</h1>", name) // XSS！})

解决方案：使用html/template包进行自动转义。

import "html/template"

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {    tmpl := template.Must(template.New("index").Parse("<h1>Hello, {{.}}!</h1>"))    name := r.URL.Query().Get("name")    tmpl.Execute(w, name) // 安全})

html/template引擎会自动转义HTML、JavaScript和CSS上下文。

3. 竞态条件

Go以其轻量级并发（goroutine和channel）而闻名。然而，在未使用同步机制的情况下错误地使用共享资源（如map或计数器）会导致数据竞态。

存在漏洞的代码：

var counter int

func increment() {    for i := 0; i < 1000; i++ {        counter++ // 非原子操作！    }}

func main() {    go increment()    go increment()}

解决方案：使用互斥锁（sync.Mutex）或原子操作（sync/atomic）。

import "sync"

var (    counter int    mu      sync.Mutex)

func increment() {    for i := 0; i < 1000; i++ {        mu.Lock()        counter++        mu.Unlock()    }}

始终使用-race标志运行测试：go test -race。