Linux下Golang日志如何进行权限控制

在Linux环境下，用Golang写日志的时候，权限控制其实是个挺常见但又容易被忽略的问题。毕竟日志文件里可能藏着敏感信息，谁都能看可不行。那到底怎么管？下面这几种方法，算是比较实用的路子。

1. 文件系统权限——最基础也最直接

这是最朴素的方法，直接通过Linux的文件权限来控制谁可以读写日志文件。比如，把日志文件的权限设成640，意思就是只有文件所有者和所属组能读写，其他用户连看都看不了。配合chown把文件归属到特定用户和组，效果立竿见影。

chmod 640 your_log_file.log
chown user:group your_log_file.log

如果你的应用场景简单，不需要复杂的权限体系，这一招就够用了。

2. 利用log包自带的日志级别

Golang标准库的log包虽然功能不多，但基本的日志级别划分还是有的。比如Print、Println，还有Debug（需要自己定义）。通过设置不同的日志级别，可以在开发环境输出详细日志，生产环境只输出关键信息，从而减少日志体积，也间接降低了敏感信息泄露的风险。

import (
    "log"
    "os"
)

func main() {
    log.SetOutput(os.Stdout)
    log.SetFlags(log.Ldate | log.Ltime | log.Lshortfile)
    log.SetPrefix("INFO: ")
    log.Println("This is an info message")
}

当然，标准库的日志级别控制比较有限，真要精细控制，还得看第三方库。

3. 第三方日志库——灵活又强大

第三方库像logrus、zap这些，不仅支持多级别日志，还能自定义格式、输出目标、日志轮转等等。权限控制方面，你可以通过设置日志级别、输出路径（比如只写到特定用户可写的目录）来间接实现。举个例子，用logrus：

go get github.com/sirupsen/logrus

package main

import (
    "github.com/sirupsen/logrus"
    "os"
)

func main() {
    logrus.SetOutput(os.Stdout)
    logrus.SetFormatter(&logrus.TextFormatter{
        FullTimestamp: true,
    })
    logrus.SetReportCaller(true)
    logrus.SetLevel(logrus.InfoLevel)
    logrus.Info("This is an info message")
}

结合文件系统权限，把日志目录设置成只有特定用户可写，再用logrus输出到该目录，就能做到双重保障。

4. SELinux或AppArmor——企业级强制访问控制

如果安全要求极高，比如合规场景，那就得上SELinux或AppArmor这类强制访问控制模块。它们可以定义策略，精确限制某个进程只能读写哪些文件、访问哪些网络端口。比如为Golang程序写一条SELinux策略，让它只能访问/var/log/myapp/目录下的文件，其他文件一概无权触碰。这种配置虽然复杂，但效果也是最彻底的。

四种方法，按需选择。日常开发中，文件系统权限加日志级别设置基本够用；要是项目规模大、安全要求高，再考虑第三方库或MAC模块。关键是，别等到日志泄露了才想起来管权限。