Go 1.26 runtime.SetCrashOutput 怎么把崩溃现场写入独立文件：输出管道与关闭时序

Go 1.26 里要把未恢复 panic 或其他致命错误的现场另存一份，实际调用的是 runtime/debug.SetCrashOutput，不是 runtime 包里的函数。它会把崩溃输出额外写到一个文件，并复制传入文件的描述符；因此调用返回后可以安全关闭原来的 *os.File，但覆盖旧目标和程序并发崩溃时仍有明确边界。

先把 API 路径和最小写法对齐

这个 API 从 Go 1.23 加入，函数位于 runtime/debug。下面的最小示例把额外崩溃输出写入 crash.log，并在注册返回后关闭创建用的文件句柄：

package main

import (
    "log"
    "os"
    "runtime/debug"
)

func main() {
    f, err := os.OpenFile("crash.log", os.O_WRONLY|os.O_CREATE|os.O_APPEND, 0600)
    if err != nil {
        log.Fatal(err)
    }
    if err := debug.SetCrashOutput(f, debug.CrashOptions{}); err != nil {
        _ = f.Close()
        log.Fatal(err)
    }
    _ = f.Close()

    panic("demo crash")
}

可见结果是：进程仍会把崩溃信息写到标准错误，同时把额外副本写到 crash.log。SetCrashOutput 只接受一个额外文件，CrashOptions{} 表示使用默认选项；文件打开失败或注册失败时要先处理错误，不要继续假设日志已经接管。

文件描述符复制决定了关闭时序

注册成功后，运行时会复制传入文件的文件描述符，形成一个 copied descriptor。换句话说，f.Close 关闭的是调用方持有的句柄，不会立刻撤销运行时已经注册的额外输出目标。这个顺序很重要：只有检查 SetCrashOutput 返回值之后，才应该关闭 f。

if err := debug.SetCrashOutput(f, debug.CrashOptions{}); err != nil {
    return err
}
if err := f.Close(); err != nil {
    return err
}

不要在注册之前关闭文件，也不要在注册失败时把关闭错误吞掉后继续运行。正常验收状态是：注册成功、原句柄关闭、后续未恢复 panic 仍能在 crash.log 看到输出。输出文件本身要由进程保持可写；复制描述符不等于为你创建目录或修复权限。

再次配置和并发崩溃不是无缝切换

SetCrashOutput 同时只维护一个额外目标。再次传入新文件会覆盖旧目标，传入 nil 则禁用额外输出：

next, err := os.OpenFile("crash-next.log", os.O_WRONLY|os.O_CREATE|os.O_APPEND, 0600)
if err != nil {
    return err
}
if err := debug.SetCrashOutput(next, debug.CrashOptions{}); err != nil {
    _ = next.Close()
    return err
}
_ = next.Close()

// 需要关闭额外输出时：
// _ = debug.SetCrashOutput(nil, debug.CrashOptions{})

官方说明特别指出：如果配置覆盖与崩溃同时发生，正在进行的部分输出可能在覆盖返回后仍写到旧文件。因此切换完成不能当成“所有旧日志已归档”的证明；如果业务要求严格分批，应该在应用层增加自己的轮换标记，并把文件切换和进程退出策略一起验收。

上线前按四个边界做复查

第一，目标目录和文件权限要按最小权限准备，示例中的 0600 只是一个起点；第二，必须记录 OpenFile 与 SetCrashOutput 的错误；第三，注册成功后再关闭原句柄；第四，测试覆盖、禁用和程序崩溃三条路径。

还要记住它是“额外”输出：标准错误仍是默认通道，SetCrashOutput 不会把 panic 变成可恢复错误，也不会替你上传文件。线上如果由外部监控进程读取管道，应额外测试对端退出、写入阻塞和进程终止时的收尾行为。

常见问题：SetCrashOutput 的输出边界

SetCrashOutput 在哪个包？

在 runtime/debug 包，完整名称是 debug.SetCrashOutput。

注册返回后能马上关闭原文件吗？

可以。运行时会复制文件描述符，但仍要先确认注册返回成功，再处理 f.Close 的错误。

再次调用会追加第二个额外文件吗？

不会。额外目标只有一个，再次调用会覆盖先前的配置。

如何关闭额外输出？

传入 nil。标准错误仍是独立的默认输出通道。

把这项能力接入服务时，先用独立测试进程验证“注册成功—关闭原句柄—触发未恢复 panic—检查文件”的闭环，再把覆盖和禁用放进发布回归。真正要确认的是输出目标、失败路径和进程退出时序都可观察。