2. Go 错误处理基础

2.1 Go 语言错误处理哲学

Go 语言采用显式错误处理哲学，与许多主流语言（如 Java、Python）的异常抛出/捕获机制有本质区别。核心原则是：错误是值（Errors are values）。这意味着错误与普通变量一样，可以被赋值、传递、比较和返回，而不是通过控制流中断来传播。

Go 的错误处理哲学直接影响了代码的安全性和可审计性。在安全审计中，显式错误处理意味着每个可能出错的点都有明确的检查路径，审计人员可以逐行追踪错误传播链，而不需要理解复杂的异常栈展开机制。

特性	Go 错误处理	传统异常机制
错误传播方式	显式返回值	隐式栈展开
错误类型	接口值（error）	异常类层次结构
检查时机	调用点立即检查	catch 块集中处理
审计可追踪性	高（逐行可见）	低（需理解异常流）
忽略错误风险	显式忽略（易发现）	空 catch 块（难发现）

2.2 error 接口

Go 语言内置的 error 接口是所有错误类型的基石。它只定义了一个方法：Error() string，用于返回错误的描述信息。

// 内置 error 接口定义
type error interface {
    Error() string
}

任何实现了 Error() string 方法的类型都自动满足 error 接口。这种设计使得错误处理非常灵活——你可以创建任意复杂的错误类型，只要它提供字符串描述即可。

2.3 errors.New 与 fmt.Errorf

标准库提供了两种最常用的错误创建方式：errors.New 和 fmt.Errorf。

errors.New

errors.New 接受一个字符串参数，返回一个包含该字符串的简单错误。它适用于静态错误消息。

import "errors"

var ErrNotFound = errors.New("resource not found")
var ErrPermissionDenied = errors.New("permission denied")

func FindUser(id int) (User, error) {
    if id <= 0 {
        return User{}, ErrNotFound
    }
    // ...
}

fmt.Errorf

fmt.Errorf 支持格式化字符串，适用于需要动态信息的错误消息。从 Go 1.13 开始，它还支持 %w 动词来包装错误。

import "fmt"

func OpenConfig(path string) (*Config, error) {
    if path == "" {
        return nil, fmt.Errorf("config path cannot be empty")
    }
    file, err := os.Open(path)
    if err != nil {
        return nil, fmt.Errorf("open config %s: %w", path, err)
    }
    defer file.Close()
    // ...
}

特性	errors.New	fmt.Errorf
格式化支持	不支持	支持 %s、%d、%w 等
错误包装	不支持	支持 %w（Go 1.13+）
性能	略高（无格式化开销）	略低（有格式化开销）
适用场景	静态、可复用的哨兵错误	动态、上下文相关的错误
审计关注点	哨兵错误是否暴露内部信息	格式化字符串是否泄漏敏感数据

2.4 自定义错误类型

当需要携带额外上下文（如错误码、HTTP 状态码、内部错误原因）时，自定义错误类型是更好的选择。自定义类型通过实现 error 接口来满足错误契约。

// 自定义错误类型示例
type AppError struct {
    Code    int    // 业务错误码
    Message string // 用户可见消息
    Err     error  // 内部包装的错误
}

func (e *AppError) Error() string {
    return fmt.Sprintf("code=%d, message=%s, err=%v", e.Code, e.Message, e.Err)
}

func (e *AppError) Unwrap() error {
    return e.Err
}

// 使用示例
func ProcessOrder(id string) error {
    if id == "" {
        return &AppError{
            Code:    400,
            Message: "order ID is required",
            Err:     nil,
        }
    }
    // ...
}

自定义错误类型在安全审计中尤为重要，因为它们可以携带结构化的错误信息，便于日志分析和错误分类。但同时也增加了审计复杂度——需要检查自定义类型是否安全地处理了所有字段。

2.5 错误处理最佳实践与审计基线

基于 Go 的错误处理哲学和基础 API，以下是安全审计中需要检查的关键基线：

1. 错误检查完整性：所有返回 error 的函数调用必须检查错误值，除非有明确文档说明可以忽略。
2. 错误传播透明性：使用 fmt.Errorf("%w", err) 保留原始错误链，便于 errors.Is 和 errors.As 进行错误匹配。
3. 敏感信息隔离：错误消息中不得包含密码、密钥、令牌、数据库连接字符串等敏感信息。
4. 哨兵错误管理：导出的哨兵错误应使用 var 声明，并添加注释说明其用途和安全性。
5. 自定义错误安全：自定义错误类型的 Error() 方法不应触发 panic 或产生副作用。