在 CentOS 上提升 Golang 日志安全性
一 系统层安全基线
- 权限最小化与目录隔离：为应用创建专用用户（如 myapp），日志目录设为 /var/log/myapp，权限 750，属主 root:myapp；日志文件权限 640，仅属主与同组可读写，其他用户只读或无权限。禁止以 root 身份运行应用。示例：
- sudo groupadd -r myapp && sudo useradd -r -g myapp -d /opt/myapp -s /sbin/nologin myapp
- sudo mkdir -p /var/log/myapp && sudo chown root:myapp /var/log/myapp && sudo chmod 750 /var/log/myapp
- 应用内创建日志文件时权限 0640，确保落盘安全。
- 传输加密：日志落盘前或传输到集中式日志平台（如 Fluentd/Logstash/ELK）时启用 TLS，避免明文在网络中被窃听或篡改。
- 审计与完整性：启用 auditd 记录对日志文件与目录的访问、修改与删除；定期校验日志完整性，配合 rsyslog 或 syslog-ng 的签名/哈希机制提升抗篡改能力。
- 集中与脱敏：优先采用集中式日志收集，在收集端进行脱敏与字段过滤，减少敏感信息落地。
二 Golang 应用层安全配置
- 结构化与分级日志：使用 zap 或 logrus 输出结构化日志（JSON），便于检索与脱敏；按环境设置合理级别（生产建议 INFO/WARN/ERROR），避免 DEBUG 泄露敏感数据。
- 安全输出路径与权限：日志写入 /var/log/myapp/，目录与文件权限按上节基线设置；应用以 myapp 运行，避免越权写入。
- 日志轮转：使用 lumberjack 控制单文件大小、保留份数与压缩，防止磁盘被占满与历史数据长期暴露。
- 系统日志集成：通过 log/syslog 将关键日志写入 syslog，利用系统级日志设施与策略统一管控。
- 日志注入防护：对用户输入或外部数据进行转义/过滤后再记录，避免特殊字符破坏日志结构或引入命令注入风险。
三 加密与密钥管理
- 传输加密：应用到日志收集器的链路启用 TLS；集中式平台侧也应对节点间通信加密。
- 静态加密（按需）：对含高敏数据的日志文件，采用 AES-256 在落盘前加密或定期离线加密归档；密钥集中托管（如 HashiCorp Vault/KMS），严格访问控制与轮换策略。
- 工具化加密：批量归档时可用 GPG 对日志文件加密，便于离线存储与传输；密钥分权保管，解密操作留痕。
四 落地配置示例
- 目录与权限（一次性）
- sudo mkdir -p /var/log/myapp
- sudo chown root:myapp /var/log/myapp && sudo chmod 750 /var/log/myapp
- Go 代码要点（结构化日志 + 轮转 + 最小权限）
- 使用 zap 结构化输出；通过 lumberjack 配置 MaxSize/MaxBackups/MaxAge/Compress；日志文件以 0640 创建，运行用户为 myapp。
- 可选：写入 syslog
- 通过 log/syslog 将关键事件写入系统日志，统一由 rsyslog 策略管控与转发。
五 运维与监控闭环
- 轮转与清理：使用 logrotate 管理归档、压缩与清理策略，防止磁盘被占满；与应用内轮转配合，避免竞争与句柄泄漏。
- 审计与告警：启用 auditd 对日志目录进行审计；结合 Prometheus/Grafana 监控日志量、错误率与磁盘使用，异常触发告警；定期演练日志恢复与取证流程。
