如何在 Go 中安全地隐藏终端密码输入

本文介绍使用 golang.org/x/crypto/ssh/terminal.readpassword 实现无回显密码输入的完整方案，替代不安全的 fmt.scan，避免明文暴露、换行干扰及信号处理缺陷。

本文介绍使用 golang.org/x/crypto/ssh/terminal.readpassword 实现无回显密码输入的完整方案，替代不安全的 fmt.scan，避免明文暴露、换行干扰及信号处理缺陷。

在 Go 程序中，直接使用 fmt.Scan(&password) 读取密码存在严重安全隐患：用户输入会以明文形式实时显示在终端上，且无法屏蔽退格、方向键等控制字符，还可能因换行符残留导致后续输入异常。这与 bash 中 read -s 的静默行为完全不符，也不符合基本的安全实践。

正确的解决方案是使用标准生态推荐的 golang.org/x/crypto/ssh/terminal.ReadPassword 函数。该函数专为密码输入设计，底层调用系统级终端控制（如 unix 的 ioctl 或 windows 的 SetConsoleMode），可自动禁用回显、忽略 Ctrl+C 以外的信号干扰，并在回车后立即恢复终端原始状态。

以下是一个完整、健壮的示例：

package main  import (     "fmt"     "golang.org/x/crypto/ssh/terminal"     "os" )  func main() {     fmt.Print("Enter password: ")     password, err := terminal.ReadPassword(int(os.Stdin.Fd()))     if err != nil {         fmt.Fprintf(os.Stderr, "Failed to read password: %vn", err)         os.Exit(1)     }     fmt.Println() // ReadPassword 不输出换行，需手动换行提升 UX     fmt.Printf("Password received (%d characters)n", len(password))     // 注意：password 是 []byte 类型，非 string；敏感数据建议及时清零     for i := range password {         password[i] = 0     } }

✅ 关键说明：

• terminal.ReadPassword 接收文件描述符（通常为 os.Stdin.Fd()），而非 *os.File，因此不能传 os.Stdin 本身；
• 返回值为 []byte，便于后续安全擦除（如上例中的零填充），避免内存中残留明文；
• 函数会自动处理 Ctrl+D（EOF）、中断信号等边界情况，错误返回清晰；
• 需提前安装依赖：go get golang.org/x/crypto/ssh/terminal；
• 在 ide 内置终端（如 VS Code）中可能受限于伪终端能力，建议在真实终端（Terminal.app、xterm、PowerShell）中测试。

⚠️ 不推荐的替代方案：

• 手动调用 syscall.Syscall 或 golang.org/x/term（旧版 golang.org/x/crypto/ssh/terminal 的演进分支）虽可行，但兼容性与维护成本更高；
• 使用 bufio.NewReader(os.Stdin).ReadBytes(‘n’) 并关闭回显——需自行处理终端模式切换，极易出错且跨平台支持差。

总之，terminal.ReadPassword 是 Go 官方生态中经过充分验证、跨平台稳定、语义明确的标准做法。将其作为密码输入的默认选择，既是安全性要求，也是工程最佳实践。