本文永久链接 – https://tonybai.com/2025/12/21/real-programmers-dont-fix-computers-ai-stars-and-seas

大家好，我是Tony Bai。

最近陪家人看几部青春都市剧，实在忍不住想吐槽。

无论题材如何变，编剧笔下的程序员永远是那副德行：戴着黑框眼镜，背着双肩包，唯唯诺诺。而他们的戏份，似乎永远逃不开那一幕——

男主角或者女神的电脑坏了，喊一声：“喂，那个谁，来修一下。”
然后镜头一转，程序员满头大汗地重启电脑，憨厚一笑。

别演了，真的。

都2025年了，大众对程序员的误解依然停留在“修电脑”和“当备胎”的阶段。

今天，我想撕掉这些标签，聊聊真实的程序员到底在做什么，以及为什么我们这群看似“无趣”的人，实则是未来 30 年人类文明的推手。

“没文化”的工具人？一种中国式的误读

在中国人的传统潜意识里，什么是“有才华”？什么是“有智慧”？

是引经据典，是出口成章，是懂《周易》懂历史，是酒桌上推杯换盏间的人情练达。我们推崇的是“国学”与“人学”。

而程序员呢？

我们脑子里装的是 GMP 调度模型，是 Transformer 架构，是 Raft 共识算法。

这些知识的认知门槛极高，掌握难度远超背诵几首唐诗。但在大众眼里，这叫“技能”，不叫“学问”；这叫“工具”，不叫“智慧”。

这就造成了一个巨大的荒诞：

一个能徒手写出操作系统内核的顶级工程师，可能因为在饭局上接不上关于“职场厚黑学”的梗，或者不懂得先敬领导一杯酒，就被贴上“木讷”、“情商低”、“读书读傻了”的标签。

我们不是学不会那些，我们只是不Care。

程序员的思维通过了严苛的逻辑训练，我们习惯了用 O(1) 的复杂度直达本质。对于那些充满了冗余、虚伪和 O(n^2) 复杂度的繁文缛节，我们的大脑会自动执行 Garbage Collection（垃圾回收）。

这种对他人的“降噪”处理，让我们在影视剧里看起来像个“怪胎”，但在代码的世界里，这正是我们构建万物的基石。

格子衫已死：新物种的诞生

如果我们把目光从影视剧移开，看一眼身边真实的 95 后、00 后程序员，你会发现那个“木讷”的标签早已过期。

程序员这个物种，正在经历一次剧烈的“版本迭代”。

去看看现在的互联网大厂，那个传说中的“格子衫军团”正在消失。取而代之的，是滑板少年、是汉服爱好者、是玩死亡重金属的贝斯手。

• 斜杠青年（Slash）：
  你以为他只是个写 Go 语言的后端？下班后，他可能是 B 站拥有十万粉丝的科普 Up 主，可能是独立游戏的制作人，也可能是用 AI 生成艺术画作的数字艺术家。

• 拒绝被定义：
  如果说上一代程序员的特征是“忍耐”和“沉默”，那么新一代程序员的特征就是“表达”和“重塑”。他们不屑于酒桌文化，因为他们更崇尚“技术平权”和“透明沟通”。

这不再是一群只会修电脑的“工具人”，而是一群试图用技术手段去重构生活方式的“新人类”。

他们在 Github 上构建世界，也在小红书和 Tiktok 上分享生活。他们不是不懂生活，他们是在用代码重新定义什么是“酷”的生活。

左手 AI，右手星辰大海

影视剧还在忙着刻画我们“修电脑”的窘态，却完全没意识到，这群“配角”，此刻正在现实世界中酝酿着怎样的惊涛骇浪。

我们正站在人类历史最疯狂的转折点上。

当你嘲笑程序员不懂“风花雪月”时，他们正在做上帝的工作：

• 左手，赋予机器“灵魂”与“肉体”：
  那些让你惊叹的 ChatGPT、Claude、DeepSeek，背后是程序员用代码搭建的神经网络。宇树G1/H1，特斯拉的 Optimus等人形机器人，正在走进现实。是程序员将逻辑注入钢铁躯体，让机器人学会行走、抓取，甚至学会思考。具身智能的爆发，将彻底重塑物理世界。

• 右手，征服星辰大海：
  SpaceX 的“筷子”夹住星舰的那一刻，全球沸腾。那毫秒级的姿态调整，不是靠吟诗作对实现的，而是靠几十万行严密的控制算法。

谁才是这个时代的“男一号”？

是那些在剧里谈情说爱的主角吗？不。

是那些在屏幕后，用 Go 语言重构微服务，用 Python 训练大模型，用 C++ 控制火箭姿态的所谓“码农”。

流行文化在消费我们，而我们在重塑流行文化赖以生存的世界。

国学典籍是面向过去的接口，它教我们如何维系一个稳定的人情社会；

编程语言是面向未来的接口，它教我们如何与硅基生命对话，如何在此刻定义未来 30 年的规则。

小结：致敬时代的推手

也许在未来的很长一段时间里，影视剧里的程序员依然会是那个戴着眼镜、不懂风情的“路人甲”。

没关系。让我们接受这种“误读”。

因为这种“忽视”，恰恰是一种保护色。它让我们这群人能远离嘈杂的名利场和复杂的人际关系，心无旁骛地坐在屏幕前。

我们不需要修电脑，我们在修补这个世界的 Bug；

我们不需要当偶像剧的主角，我们在编写人类文明的下一个版本。

致敬每一位“不善言辞”，但正在改变世界的程序员。

作为程序员，你曾在哪一刻因为“不懂人情世故”或“不关注大众话题”而被误解过？而在那一刻，你脑子里其实正在思考什么硬核的技术问题？

欢迎在评论区，分享你的“社死”与“高光”时刻。

未来30年，是属于工程师的黄金时代。

别让你的技能停留在“修电脑”的阶段。想要掌握 Go 语言在云原生、AI 工程化 中的核心能力，紧跟 具身智能 的浪潮？

加入我的 「Go & AI 精进营」。在这里，我们不聊厚黑学，只聊如何拿到通往未来的船票。

[此处放置知识星球二维码]

还在为“复制粘贴喂AI”而烦恼？我的新专栏 《AI原生开发工作流实战》 将带你：

• 告别低效，重塑开发范式
• 驾驭AI Agent(Claude Code)，实现工作流自动化
• 从“AI使用者”进化为规范驱动开发的“工作流指挥家”

扫描下方二维码，开启你的AI原生开发之旅。

你的Go技能，是否也卡在了“熟练”到“精通”的瓶颈期？

• 想写出更地道、更健壮的Go代码，却总在细节上踩坑？
• 渴望提升软件设计能力，驾驭复杂Go项目却缺乏章法？
• 想打造生产级的Go服务，却在工程化实践中屡屡受挫？

继《Go语言第一课》后，我的《Go语言进阶课》终于在极客时间与大家见面了！

我的全新极客时间专栏 《Tony Bai·Go语言进阶课》就是为这样的你量身打造！30+讲硬核内容，带你夯实语法认知，提升设计思维，锻造工程实践能力，更有实战项目串讲。

目标只有一个：助你完成从“Go熟练工”到“Go专家”的蜕变！ 现在就加入，让你的Go技能再上一个新台阶！

商务合作方式：撰稿、出书、培训、在线课程、合伙创业、咨询、广告合作。如有需求，请扫描下方公众号二维码，与我私信联系。

本文永久链接 – https://tonybai.com/2025/12/21/go-1-26-cryptographic-storm-vault-compliance-vs-go-security

大家好，我是Tony Bai。

近日，一个看似不起眼的 Go 语言issue，在社区引发了一场“地震级”的辩论。这场辩论的主角，一方是 Go 安全团队的灵魂人物 Filippo Valsorda，另一方则是开源安全巨头 Hashicorp Vault 的核心开发者。

辩论的焦点是：Go 1.26 计划“废除” crypto 包中一系列密钥生成函数（如 rsa.GenerateKey）的 rand io.Reader 参数，使其在默认情况下强制使用 crypto/rand.Reader 作为唯一的熵源。

这一变更，对于绝大多数 Gopher 来说，似乎无关痛痒甚至更安全。但对于 Hashicorp Vault 这样需要满足硬件安全模块 (HSM) 和 FIPS 合规性等严苛要求的项目而言，这无异于一场“釜底抽薪”。

这场“加密风暴”，深刻地揭示了 Go 语言在追求普适安全性与满足特定企业级需求之间的永恒张力。

Hashicorp 的“求救”——“我们的核心功能被破坏了”

Hashicorp Vault 的开发者 sgmiller 首先发难。他指出，Vault 的许多客户，出于合规性或审计要求，强制要求所有密钥的生成，必须直接源自经过认证的硬件随机数生成器（通过 PKCS#11 HSM 设备）。

Vault 的实现方式，正是通过 crypto 包中那些 GenerateKey 函数的 rand io.Reader 参数，将来自 HSM 的“硬件熵”直接注入到密钥生成过程中。

Go 1.26 的变更——即保留该参数，但在默认情况下忽略它——将使这一核心功能完全失效。sgmiller 认为，这是一种破坏 API 语义的重大变更，唯一的出路似乎只剩下：
1. Fork 标准库：自行维护一套密钥生成代码，但这将带来巨大的维护成本和安全风险。
2. 依赖一个临时的 GODEBUG 环境变量：但这并非长久之计。

Filippo 的“三连击”——强硬而深刻的回应

Go 安全团队的 Filippo Valsorda 随后给出了堪称“教科书级别”的回应。他的论点层层递进，不仅解释了“为什么这么做”，更深刻地阐述了 Go 团队的安全哲学。

第一击：从安全角度看，你的需求“毫无意义”

Filippo 首先从纯粹的安全角度，直接否定了 Vault 需求的合理性。

“说实话，我看不出这个功能有什么安全意义。如果你担心操作系统的熵池，那就一次性从你的 HSM 读取 256 比特的随机数，然后写入 /dev/urandom。Go（以及其他所有程序）都会在系统熵池的基础上，使用你注入的这份熵。这比你自己实现一个用户空间的 DRBG 要安全得多。”

“我保守估计，你的 PKCS#11 驱动程序、DRBG 或 HSM 本身出 Bug 的概率，是 Linux 内核随机数子系统出 Bug 概率的 100 倍。”

这段话的潜台词是：你以为你在增强安全性，但实际上，你引入的复杂性和潜在的 Bug 源，远比你试图解决的问题更危险。

荒谬的需求，不能靠上游的复杂性来满足

接着，Filippo 展现了惊人的同理心和务实精神。他承认，现实世界中充满了各种“荒谬的”合规要求。

“然而，有时客户就是有一些他们愿意花钱满足的、毫无意义的需求，我懂的！（我TMD就在做 FIPS 140-3 的业务，我怎么会不懂呢？）”

“但是，这些荒谬的需求，不能通过增加上游库的复杂性来满足，因为上游库的目标是真正的安全，而不是帮你勾选审计清单。如果需要，客户的钱应该用来支付变通方案 (workarounds) 的成本。”

在这里，Filippo 明确地划清了界限：Go 标准库的职责，是为 99.999% 的用户提供默认安全、简单清晰的 API。 为了满足极少数用户的、非安全驱动的“合规复选框”，而让标准库的实现和维护变得更加复杂，是一种本末倒置。

第三击：所谓的“破坏”，其实并不存在

最后，Filippo 指出，所谓的“破坏”其实被夸大了。

• Fork 并非洪水猛兽：对于 RSA 密钥生成，自己实现一个符合 Vault 需求的版本，可能只需要“2-5 个工程师日”的工作量。这并非一次“Fork 标准库”的壮举，而是一次小型的、可控的自研。
• FIPS 合规性是个伪命题：他进一步指出，无论是 Go+BoringCrypto 还是原生的 FIPS 模块，在“认证模式”下，从来都不支持通过 io.Reader 参数注入外部熵源。任何这样做的尝试，都会自动退出 FIPS 认证模式。因此，Vault 现有的实现，本就不是 FIPS 兼容的。

辩论的深层——API 语义与确定性密钥生成

这场辩论并未就此结束。Hashicorp 的另一位开发者 jefferai 指出，rand 参数的另一个重要用途是确定性密钥生成 (deterministic key generation)，例如，通过对一组输入进行哈希，得到一个可预测的密钥。这在某些测试和特定协议中非常有用。

Filippo 再次明确了 Go 的设计哲学：

“这正是我们想要避免的。GenerateKey 这个函数，其唯一的语义就是生成随机密钥。如果你想要确定性密钥生成，你需要的是一个明确的规范和实现，而不是通过‘滥用’一个用于注入随机性的参数。”

这揭示了 Go 团队进行此次变更的另一个深层原因：简化 API 语义，消除模糊地带。他们希望 GenerateKey 只做一件事，并把它做好。

Go 社区的核心启示

这场发生在顶尖工程师之间的“神仙打架”，为我们所有 Gopher 带来了几点极其宝贵的启示：

1. 理解 Go 的安全哲学：默认安全
   Go 团队正越来越多地采取一种“家长式”的安全策略：默认提供最安全、最简单的选项，并逐步移除那些可能被误用的“高级”选项。 这要求我们信任标准库，而不是试图用自己的“小聪明”去绕过它。

2. API 设计：清晰的语义胜过一切
   一个 API 的每个参数都应该有其明确、单一的用途。Filippo 的论点提醒我们，不要设计那些可以被“巧妙地滥用”的 API。如果一个功能是必要的，就为它设计一个专门的、语义清晰的 API。

3. 拥抱 GODEBUG：一个“软弃用”的缓冲带
   Go 团队通过 GODEBUG 环境变量，为这类破坏性变更提供了长达数年（通常是 2 年）的过渡期。我们应该学会利用 //go:debug 指令和 godebug go.mod 设置，来有意识地管理这些变更，而不是等到最后期限才手忙脚乱。

小结

这场“加密风暴”，最终以 Go 团队坚持其设计哲学而告终。它或许会让 Hashicorp 这样的重量级用户付出一些额外的开发成本，但从长远来看，一个更简单、更安全、语义更清晰的 crypto 标准库，将使整个 Go 生态受益。

这正是 Go 语言持续成功的秘诀：在无尽的特性需求和复杂的现实世界面前，勇敢地、有时甚至是“固执”地，对复杂性说“不”。

资料链接：https://github.com/golang/go/issues/76856

还在为“复制粘贴喂AI”而烦恼？我的新专栏 《AI原生开发工作流实战》 将带你：

• 告别低效，重塑开发范式
• 驾驭AI Agent(Claude Code)，实现工作流自动化
• 从“AI使用者”进化为规范驱动开发的“工作流指挥家”

扫描下方二维码，开启你的AI原生开发之旅。

你的Go技能，是否也卡在了“熟练”到“精通”的瓶颈期？

• 想写出更地道、更健壮的Go代码，却总在细节上踩坑？
• 渴望提升软件设计能力，驾驭复杂Go项目却缺乏章法？
• 想打造生产级的Go服务，却在工程化实践中屡屡受挫？

继《Go语言第一课》后，我的《Go语言进阶课》终于在极客时间与大家见面了！

我的全新极客时间专栏 《Tony Bai·Go语言进阶课》就是为这样的你量身打造！30+讲硬核内容，带你夯实语法认知，提升设计思维，锻造工程实践能力，更有实战项目串讲。

目标只有一个：助你完成从“Go熟练工”到“Go专家”的蜕变！ 现在就加入，让你的Go技能再上一个新台阶！

商务合作方式：撰稿、出书、培训、在线课程、合伙创业、咨询、广告合作。如有需求，请扫描下方公众号二维码，与我私信联系。