如何加密Debian Golang日志

在 Debian 上运行的 Golang 程序，对日志加密通常有三种典型场景，下面按“实用程度”给你一套可落地的方案。

一、应用层加密（最推荐 ✅）

思路：Golang 写日志前就加密，存的是密文。

1️⃣ 使用 AES-GCM 加密日志

package main

import (
    "crypto/aes"
    "crypto/cipher"
    "crypto/rand"
    "encoding/base64"
    "io"
    "log"
    "os"
)

func encrypt(plaintext []byte, key []byte) (string, error) {
    block, err := aes.NewCipher(key)
    if err != nil {
        return "", err
    }
    gcm, err := cipher.NewGCM(block)
    if err != nil {
        return "", err
    }
    nonce := make([]byte, gcm.NonceSize())
    if _, err := io.ReadFull(rand.Reader, nonce); err != nil {
        return "", err
    }
    ciphertext := gcm.Seal(nonce, nonce, plaintext, nil)
    return base64.StdEncoding.EncodeToString(ciphertext), nil
}

func main() {
    key := []byte("32-byte-key-for-aes-256-gcm!!") // 必须 32 字节
    msg, _ := encrypt([]byte("user password=123456"), key)

    logFile, _ := os.OpenFile("/var/log/app.log", os.O_APPEND|os.O_CREATE|os.O_WRONLY, 0600)
    log.SetOutput(logFile)
    log.Println(msg)
}

✅ 优点

不依赖系统
可控、可审计
适合云/容器环境

❌ 缺点

需要管理密钥

二、系统层加密（磁盘/文件级）

适合：你不改代码，只想“日志文件别人看不到”。

方案 A：Linux 文件加密（eCryptfs）

sudo apt install ecryptfs-utils
sudo mount -t ecryptfs /var/log/myapp /var/log/myapp

✅ 透明加密
❌ 配置复杂，重启需密码

方案 B：LUKS 全盘/分区加密（Debian 常见）

cryptsetup luksFormat /dev/sdb1
cryptsetup open /dev/sdb1 logdata
mkfs.ext4 /dev/mapper/logdata

✅ 安全性极高
❌ 不适合单文件日志

三、日志传输加密（远程日志）

如果你用 rsyslog / vector / fluentd：

示例：rsyslog TLS 加密

sudo apt install rsyslog-gnutls

*.* @@logserver.example.com:6514

✅ 防中间人
❌ 本地仍明文

四、密钥管理建议（重要 ⚠）

不要写死在代码里！

五、推荐组合（实战）

✅ 最佳实践

Golang AES-GCM 加密
+ 日志文件 0600
+ Debian LUKS
+ 远程 TLS

如果你愿意，我可以：

✅ 给你封装一个 SecureLogger
✅ 写 systemd 服务示例
✅ 教你用 age / vault 管理密钥

你现在的日志是：

本地文件？
还是发到远端？