go这么好用的pprof包却引发了安全漏洞？规避pprof自动注册默认url

Go的pprof包确实非常有用，它提供了运行时的性能分析功能。然而，在某些情况下，可能会不小心或者因为错误配置导致pprof服务开放在公网上，从而引发安全漏洞。

为了规避这个问题，可以采取以下措施：

1. 禁用默认的pprof端点：

   默认情况下，Go的net/http/pprof包会在localhost:6060上自动注册web接口。为了安全起见，可以禁止对外暴露这个接口。

import (
    "net/http"
    _ "net/http/pprof" // 引入pprof包，但不导出任何内容
)
 
func main() {
    // 不使用http.ListenAndServe("localhost:6060", nil)
    // 因为pprof包已经默认绑定到了这个地址，但是没有被导出
}

2. 手动绑定pprof到安全的地址：

   如果你需要使用pprof进行调试，可以手动绑定到一个安全的地址上。

import (
    "net/http"
    "net/http/pprof"
)
 
func main() {
    http.ListenAndServe("127.0.0.1:8081", nil) // 默认服务
    http.ListenAndServe("127.0.0.1:8082", nil) // pprof服务
 
    mux := http.NewServeMux()
    mux.HandleFunc("/debug/pprof/", pprof.Index)
    mux.HandleFunc("/debug/pprof/cmdline", pprof.Cmdline)
    mux.HandleFunc("/debug/pprof/profile", pprof.Profile)
    mux.HandleFunc("/debug/pprof/symbol", pprof.Symbol)
    mux.HandleFunc("/debug/pprof/trace", pprof.Trace)
    mux.Handle("/debug/pprof/block", pprof.Handler("block"))
    mux.Handle("/debug/pprof/goroutine", pprof.Handler("goroutine"))
    mux.Handle("/debug/pprof/heap", pprof.Handler("heap"))
    mux.Handle("/debug/pprof/mutex", pprof.Handler("mutex"))
    mux.Handle("/debug/pprof/threadcreate", pprof.Handler("threadcreate"))
 
    go http.ListenAndServe("localhost:8082", mux)
}

3. 使用防火墙：

   在服务器上设置防火墙规则，仅允许特定的IP地址访问pprof服务。

# 示例iptables规则，仅允许本地访问pprof服务
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 8082 -j ACCEPT
iptables -A INPUT -p tcp -s 0.0.0.0/0 --dport 8082 -j DROP

4. 使用代理服务器：

   在pprof服务和外部世界之间放置一个代理服务器，代理服务器可以实现访问控制。

总结，要规避pprof引发的安全问题，可以通过禁用默认端点、手动绑定到安全地址、使用防火墙和代理服务器来实现。