runtime/secret 如何保存短生命周期的令牌字节

如果令牌只在一次签名、派生或校验中间过程里存在，重点不是把它“永久保存得更安全”，而是缩短敏感字节的生命周期。Go 的 runtime/secret 提供了一个实验性边界：把敏感计算放进 secret.Do，运行时会处理回调使用过的临时栈和寄存器，并在堆对象不再可达、且垃圾回收发现它们之后擦除相关存储。

官方地址：https://pkg.go.dev/runtime/secret

先确认实验开关与使用场景

这个包当前属于实验能力，不受 Go 1 兼容性承诺约束，并且只有在构建链设置实验开关时才存在。它更适合安全组件或运行时实验中的短生命周期数据，不适合直接作为业务密钥库。先把构建条件写进 CI，避免开发机能编译、发布机却走到另一条实现。

# 只在明确评估过的实验构建中启用 runtime/secret
GOEXPERIMENT=runtimesecret go test ./...

# 发布前同时记录目标平台，避免把实验支持范围误当成全平台能力
GOOS=linux GOARCH=amd64 GOEXPERIMENT=runtimesecret go build ./cmd/worker

官方文档说明，目前真正提供擦除能力的重点平台是 Linux amd64 和 Linux arm64；不支持的平台上，Do 会直接调用回调函数。因此跨平台程序不能只看“能否编译”，还要明确降级后的安全含义。

把令牌处理收敛到 secret.Do

设计时把令牌读取、校验和派生放在一个短回调内，回调外只留下业务必须的布尔值、短错误码或已经脱敏的结果。调用者预先分配输出，能减少在敏感边界里不断扩容的机会；如果结果本身仍是秘密，就不要为了方便把它返回到普通业务层。

package token

import "runtime/secret"

// CheckShortToken 在 secret.Do 内完成短令牌校验，只把非敏感结论带出去。
func CheckShortToken(token []byte, expected []byte) bool {
	valid := false
	secret.Do(func() {
		// 比较逻辑位于敏感边界；这里不把 token 复制到全局变量。
		if len(token) != len(expected) {
			return
		}
		valid = constantTimeEqual(token, expected)
	})
	return valid
}

// constantTimeEqual 只返回比较结果，避免把敏感字节作为结果继续传播。
func constantTimeEqual(left, right []byte) bool {
	var diff byte
	for i := range left {
		diff |= left[i] ^ right[i]
	}
	return diff == 0
}

这里的关键不是给每个字节手写一套“清零动作”，而是缩短引用范围。secret.Do 即使遇到 panic 或 runtime.Goexit 也有自己的处理规则；但上层 defer、错误对象和日志参数仍可能延长数据的可见时间，异常路径同样要审查。

控制返回值、切片扩容与 goroutine

官方限制里最容易被忽略的是堆对象。回调内创建的堆分配只有在程序丢弃全部引用后，才会等垃圾回收器发现不可达时擦除；这不是 Do 返回瞬间的同步承诺。如果在回调中反复 append，扩容可能生成更大的新分配，擦除成本和生命周期都会变得难以判断。

在 Do 内启动的 goroutine 会表现得像整个 goroutine 又被包进另一个 Do，但这并不替代并发设计。共享切片、闭包捕获和错误对象仍然可能让敏感引用活得更久；如果不需要并发，令牌处理就不要拆成后台 goroutine。

按边界做上线决策

采用前至少逐项确认下面四件事：构建环境是否开启实验开关；部署平台是否在支持范围；回调是否写入了全局变量；数据结构中是否把机密编码进了指针或指针偏移。官方文档明确指出，写入全局变量的保护不在范围内，指针地址也可能泄露到运行时用于 GC 的数据缓冲中。

因此，runtime/secret 解决的是“减少某段敏感计算留下的运行时痕迹”这一窄问题。它不能替代外部密钥管理、访问控制、日志脱敏、进程隔离和密钥轮换。生产引入时建议先放在可回滚的安全组件里，记录平台降级策略，再观察堆分配和 GC 成本，而不是把整个服务强行包进 Do。

相关问题

runtime/secret 是稳定标准库接口吗？

不是。它是实验性包，不受 Go 1 兼容性承诺约束，依赖实验构建开关，升级 Go 版本时应重新评估。

secret.Do 返回后堆内存一定已经清零吗？

不一定。堆对象必须先变得不可达，再由垃圾回收器发现；代码只能主动缩短引用生命周期，不能把 GC 时刻当成确定时钟。

不支持的平台能不能继续调用 Do？

可以调用，但官方描述是直接执行回调。跨平台发布应把这种降级当成明确的安全能力差异，而不是当成同等保护。