能否从Go编译二进制或运行时进程中提取硬编码API Token？

二进制文件层面：肯定会泄露 #

Go编译器默认不会对源码里的字符串常量做加密处理，你硬编码的<my_API_token>会以明文形式（UTF-8编码）存放在二进制的只读数据段（.rodata）中：

• 用简单的strings命令就能直接提取：strings 你的Go二进制文件 | grep "<my_API_token>"，直接就能看到Token内容；
• 就算做了轻微的代码混淆，只要没专门对字符串做加密，逆向分析也能轻松拿到Token。

运行时进程层面：同样能拿到 #

程序运行后，Token会被加载到进程的内存空间里。只要有进程的访问权限：

• 用gdb、lldb这类调试工具附加到进程，就能直接搜索内存找到明文Token；
• Linux下可以通过/proc/<进程PID>/mem读取进程内存，Windows也有对应的内存dump工具，都能提取出Token。

你的示例代码情况 #

你用oauth2.StaticTokenSource硬编码AccessToken的代码，编译后100%会泄露Token。因为这个Token是字符串常量，会直接打包进二进制，没有任何默认的保护机制。

内容的提问来源于stack exchange，提问作者adamency