Golang日志在CentOS上的安全性

Golang日志在CentOS上的安全性保障措施

在CentOS环境中，Golang应用程序的日志安全性需围绕权限控制、加密保护、防注入、敏感信息过滤及监控审计五大核心维度构建，以下是具体实施方案：

一、权限管理与访问控制

1. 日志目录与文件权限设置

创建专用日志目录（如/var/log/myapp），并设置合理的所有权与权限：

sudo mkdir -p /var/log/myapp
sudo chown root:myapp /var/log/myapp  # 所有者为root，属组为myapp（自定义应用组）
sudo chmod 750 /var/log/myapp          # 所有者可读写执行，属组可读执行，其他用户无权限

在Golang代码中创建日志文件时，通过os.OpenFile指定权限（如0640，所有者可读写，属组可读）：

logFile, err := os.OpenFile("/var/log/myapp/app.log", os.O_CREATE|os.O_WRONLY|os.O_APPEND, 0640)
if err != nil {
    log.Fatal(err)
}
defer logFile.Close()

推荐使用日志组：创建专门日志组（如loggers），将需要访问日志的用户加入该组，进一步细化权限控制。

2. 利用SELinux增强安全

若系统启用SELinux，需为日志目录设置正确的安全上下文（var_log_t），允许授权进程访问：
```
sudo chcon -R -t var_log_t /var/log/myapp
```
通过SELinux策略限制日志文件的访问权限，防止未授权进程修改或删除日志。

二、日志加密保护

1. 文件内容加密

使用AES等对称加密算法对日志内容进行加密。例如，通过Golang标准库crypto/aes实现：

func encrypt(plainText string, key []byte) (string, error) {
    block, err := aes.NewCipher(key)
    if err != nil {
        return "", err
    }
    plainTextBytes := []byte(plainText)
    // 填充明文至16字节倍数
    padding := aes.BlockSize - len(plainTextBytes)%aes.BlockSize
    plainTextBytes = append(plainTextBytes, bytes.Repeat([]byte{byte(padding)}, padding)...)
    cipherText := make([]byte, aes.BlockSize+len(plainTextBytes))
    iv := cipherText[:aes.BlockSize]
    if _, err := io.ReadFull(rand.Reader, iv); err != nil {
        return "", err
    }
    stream := cipher.NewCFBEncrypter(block, iv)
    stream.XORKeyStream(cipherText[aes.BlockSize:], plainTextBytes)
    return base64.URLEncoding.EncodeToString(cipherText), nil
}

在日志写入时调用加密函数，确保日志文件即使泄露也无法被未授权读取。

2. 传输过程加密

若日志需远程传输（如发送到ELK Stack），使用TLS加密传输通道（如syslog over TLS、Fluentd的TLS配置），防止数据在传输中被截获。

三、防止日志注入攻击

避免直接拼接用户输入：使用日志库的格式化功能（如log.Printf、logrus.Info），而非字符串拼接，防止恶意用户插入特殊字符（如换行符、命令注入）。
转义特殊字符：对用户输入的内容进行转义，例如将单引号'替换为\'，避免日志内容被解析为命令：
```
log.Printf("User %s executed command: %s", username, strings.ReplaceAll(command, "'", "\\'"))
```
使用结构化日志库：如logrus、zap，其内置的格式化功能可自动处理特殊字符，降低注入风险。

四、敏感信息过滤与脱敏

过滤敏感字段：在日志记录前，移除或替换密码、密钥、身份证号等敏感信息。例如，使用正则表达式匹配手机号并脱敏：

func maskSensitiveInfo(log string) string {
    phoneReg := regexp.MustCompile(`(\d{3})\d{4}(\d{4})`)
    return phoneReg.ReplaceAllString(log, "$1****$2") // 手机号脱敏为138****1234
}

使用第三方库简化脱敏：如go-homedir隐藏用户主目录路径，zap库通过AddHook添加自定义脱敏钩子，自动过滤敏感字段。

五、日志审计与监控

启用auditd服务：通过auditd记录日志文件的访问行为（如读取、修改、删除），便于追踪异常操作：

sudo yum install audit -y
sudo systemctl enable --now auditd
sudo auditctl -w /var/log/myapp/app.log -p war -k myapp_log_audit  # 监控app.log的写、追加、读操作

实时监控与告警：使用tail -f或监控工具（如Prometheus+Granafa）实时查看日志，设置关键词告警（如“ERROR”“Exception”），及时发现潜在安全威胁。

六、日志轮转与归档

使用lumberjack库实现日志轮转，避免单个日志文件过大导致磁盘空间耗尽：

import "gopkg.in/natefinch/lumberjack.v2"
logger := &lumberjack.Logger{
    Filename:   "/var/log/myapp/app.log",
    MaxSize:    10,    // 单个日志文件最大10MB
    MaxBackups: 3,     // 保留3个备份
    MaxAge:     28,    // 保留28天
    Compress:   true,  // 压缩备份文件
}
log.SetOutput(logger)

定期归档旧日志至离线存储（如NAS、对象存储），进一步降低日志泄露风险。

通过以上措施，可全面保障CentOS环境下Golang应用程序日志的安全性，防止未授权访问、数据泄露及恶意篡改。