Go 1.27 runtime/secret 会不会传给新 goroutine：机密内存与平台边界

如果一段 Go 代码正在处理私钥、会话密钥或中间密文，开发者通常会追问两件事：调用 runtime/secret.Do 之后，新开的 goroutine 是否仍处于机密模式？函数返回时，堆上的临时数据是不是已经被清零？Go 1.27 的答案是“前者会继承，后者要看可达性”，两者不能混为一谈。

runtime/secret 解决的不是“所有内存都保密”

Go 1.27 新增的 runtime/secret 是实验包，目标是让一段调用树中的临时寄存器、栈空间和部分堆分配更快进入擦除路径。它适合常量时间密码学代码一类的场景，但不属于 Go 1 兼容承诺，不能像普通稳定标准库那样直接写进跨平台公共 API。

最小入口只有两个：secret.Do(func() { ... }) 负责包住计算，secret.Enabled() 用来判断当前 goroutine 是否处于 secret mode。启用实验构建时，包才会参与编译：

package main

import (
    "fmt"
    "runtime/secret"
)

func main() {
    secret.Do(func() {
        fmt.Println("inside:", secret.Enabled())
        go func() {
            fmt.Println("child:", secret.Enabled())
        }()
    })
}

这个片段只用于说明 API 关系，不代表关闭 goroutine、回收堆对象或清除输出内容。若构建没有启用对应实验，导入路径本身就不能按普通稳定包处理。

新 goroutine 会继承 secret mode 吗

会。官方文档明确规定：在 Do 执行期间创建的 goroutine，会表现得像整个 goroutine 外面又包了一层 Do。因此，子 goroutine 调用 secret.Enabled() 时可以观察到继承后的状态；这个规则覆盖的是运行时模式，不是把父 goroutine 的所有数据复制一份。

这里有一个很实用的判断：如果子 goroutine 只是继续执行同一段常量时间计算，继承机制能保持运行模式一致；如果你把结果发到 channel、写入全局缓存或交给另一个长期存活的对象，数据生命周期仍要由业务代码自己负责。图中的机密计算 f 可以是匿名函数，也可以是由调用方传入的函数值。

Do 返回后，堆内存什么时候才会擦除

Do 返回时，寄存器和栈上的使用痕迹会进入更及时的擦除处理；堆分配则不同。只有当程序丢掉了这些对象的全部引用，并且垃圾回收器确认它们已经不可达，运行时才有机会擦除对应内存。仍被切片、map、闭包、panic 值或全局变量引用的对象，不会因为离开 Do 就立刻消失。

官方文档还特别提醒，全局变量写入不在保护范围内。换句话说，Do 返回后，堆对象仍可达；只有 GC 发现不可达，才进入内存擦除条件。指针地址也可能出现在运行时用于 GC 的数据缓冲中，所以不要把秘密偏移量编码进指针。对于密码学实现，建议把机密计算压缩在清晰的局部生命周期中，并避免把中间值写入全局状态、日志或错误对象。

版本、平台和构建检查怎么做

落地前至少把构建标签、目标平台和回退策略写进 CI 记录。跨平台库可以把 runtime/secret 放在受控的可选实现中，不要让调用方误以为所有平台都获得同等级的机密内存保护。

三个容易误判的边界

子 goroutine 退出后，父 goroutine 能立刻回收它的堆数据吗？

不能这样保证。继承 secret mode 只说明运行时模式，堆对象何时不可达仍取决于引用关系和 GC 时机。

把秘密写进全局变量，再放进 Do 里处理可以吗？

不建议。官方限制明确指出，全局变量写入不在保护范围内；应缩短局部值生命周期，避免共享状态保存中间秘密。

启用 runtimesecret 后就不用做密钥清理了吗？

不是。它是运行时辅助能力，不能替代日志脱敏、错误值检查、输出缓冲管理、引用生命周期设计和密码学库自身的安全审查。

常见问题

runtime/secret 是稳定标准库吗？

不是。它是实验包，不受 Go 1 兼容承诺保护；使用前要把 Go 版本、实验开关和目标平台固定下来。

新 goroutine 一定能让机密数据更快消失吗？

不一定。它继承 secret mode，但数据能否擦除仍取决于引用是否全部释放以及 GC 何时确认对象不可达。

macOS 上能直接使用同一套保护吗？

不能直接假设。官方文档当前只列出 Linux amd64 和 Linux arm64 支持，跨平台代码应提供受控回退。

最后可以用一句话做决策：需要让一段密码学调用树进入 secret mode 时，Do 里的新 goroutine 会跟随继承；需要判断数据是否已经从内存中消失时，必须继续追踪引用和 GC 可达性。把这两个问题分开，才不会把实验性的运行时能力当成万能清零开关。