Go 中实现无回显密码输入的完整教程

go 标准库不提供类似 python `getpass.getpass()` 的无回显输入函数，需借助第三方库（如 `gopass`）或自行调用系统底层 api 实现密码安全输入。

在命令行程序中安全地读取密码，核心要求是：用户键入的字符不可显示在终端上（即禁用回显），同时避免将明文密码意外打印、记录或泄露。遗憾的是，Go 官方标准库（如 fmt.Scanln、bufio.NewReader(os.Stdin)）均无法关闭终端回显——它们仅负责读取已由操作系统处理后的输入流，而回显行为由终端（TTY）自身控制。

✅ 推荐方案：使用成熟可靠的第三方库 gopass
gopass 是一个轻量、跨平台（支持 Linux/macOS/Windows/FreeBSD）的密码输入工具，底层通过系统调用临时关闭终端回显（Unix 系统使用 syscall.Syscall 配合 ioctl，Windows 使用 golang.org/x/sys/windows），并自动恢复终端状态，安全性与健壮性经过长期验证。

安装依赖：

go get github.com/howeyc/gopass

基础用法示例：

package main

import (
    "fmt"
    "github.com/howeyc/gopass"
)

func ma
in() {
    fmt.Print("Password: ")
    password, err := gopass.GetPasswd() // 无任何显示（完全静默）
    if err != nil {
        panic("Failed to read password: " + err.Error())
    }

    fmt.Println("\nPassword received (length:", len(password), ")")
    // ⚠️ 实际项目中请勿打印明文密码！此处仅作演示。
}

如需视觉反馈（例如用 * 替代每个字符），可改用：

password, err := gopass.GetPasswdMasked() // 输入时显示 *，仍不泄露真实字符

⚠️ 重要注意事项：

• 永远不要对密码做日志输出、字符串拼接调试或明文持久化存储；获取后应尽快进行哈希（如 bcrypt）或安全擦除（bytes.Equal 比较后调用 for i := range pwd { pwd[i] = 0 }）。
• gopass 要求运行环境具备交互式终端（即 os.Stdin 必须关联 TTY）；若重定向输入（如 echo "123" | ./app），会返回错误，这反而是安全设计——非交互场景本就不该用于密码输入。
• 若因合规原因禁止引入第三方依赖，可基于 golang.org/x/sys/unix（Unix）或 golang.org/x/sys/windows（Windows）手动实现 TTY 控制，但复杂度高、易出错，不建议自行重复造轮子。

总结：对于绝大多数 Go 命令行工具，直接使用 gopass 是最简洁、安全、可维护的解决方案。它精准填补了标准库在敏感输入场景下的空白，让密码处理回归“开箱即安全”的开发体验。