Go 防御的プログラミングパターン

防御的チェックリスト優先順位

API 境界でコードを堅牢化する場合、この順序でチェックします:

API 境界をレビューしていますか?
├─ 1. エラーハンドリング     → エラーを返す; panic しない (go-error-handling 参照)
├─ 2. 入力値検証   → 呼び出し元から受け取るスライス/マップをコピー
├─ 3. 出力安全性      → 呼び出し元に返す前にスライス/マップをコピー
├─ 4. リソースクリーンアップ   → Close/Unlock/Cancel に defer を使用
├─ 5. インターフェースチェック   → var _ Interface = (*Type)(nil) でコンパイル時検証
├─ 6. 時間正確性   → int/float ではなく time.Time と time.Duration を使用
├─ 7. Enum 安全性        → ゼロ値が無効になるよう iota を 1 から開始
└─ 8. 暗号安全性      → キー生成に crypto/rand を使用、math/rand は絶対禁止

---

クイックリファレンス

パターン	ルール	詳細
境界でのコピー	受け取りと返却時にスライス/マップをコピー	BOUNDARY-COPYING.md
Defer クリーンアップ	os.Open 直後に defer f.Close()	下記参照
インターフェースチェック	var _ I = (*T)(nil)	go-interfaces 参照
時間型	time.Time / time.Duration, 生の int は不可	TIME-ENUMS-TAGS.md
Enum 開始	iota + 1 でゼロ値が無効	下記参照
暗号 rand	キーは crypto/rand, math/rand は絶対禁止	下記参照
Must 関数	初期化時のみ使用; 失敗時は panic	MUST-FUNCTIONS.md
Panic/Recover	パッケージ外に panic を漏らさない	PANIC-RECOVER.md
可変グローバル	依存注入で置き換え	下記参照

---

インターフェース実装の確認

コンパイル時チェックを使用してインターフェース実装を確認します。詳細は go-interfaces: インターフェース満足度チェック を参照してください。

var _ http.Handler = (*Handler)(nil)

境界でスライスとマップをコピー

スライスとマップは基礎データへのポインタを含んでいます。意図しない変更を防ぐために API 境界でコピーします。

// 受け取り: 受け取ったスライスをコピー
d.trips = make([]Trip, len(trips))
copy(d.trips, trips)

// 返却: 返す前にマップをコピー
result := make(map[string]int, len(s.counters))
for k, v := range s.counters { result[k] = v }

API 境界でスライスやマップをコピーする場合、または防御的コピーが必要か不要かを判断する場合は references/BOUNDARY-COPYING.md を読んでください。

Defer でクリーンアップ

リソース (ファイル、ロック) をクリーンアップするには defer を使用します。複数の return パスでクリーンアップを漏らすことを防ぎます。

p.Lock()
defer p.Unlock()

if p.count < 10 {
  return p.count
}
p.count++
return p.count

Defer のオーバーヘッドは無視できるレベルです。明確性のために defer f.Close() を os.Open の直後に配置してください。遅延関数の引数は defer が実行される時点で評価され、関数が実行される時点ではありません。複数の defer は LIFO 順で実行されます。

構造体フィールドタグ

推奨: マーシャル/アンマーシャルされる構造体には常に明示的なフィールドタグを追加してください。

type User struct {
    Name  string `json:"name"  yaml:"name"`
    Email string `json:"email" yaml:"email"`
}

フィールドタグは シリアライゼーション契約 です — タグを更新せずに構造体フィールドの名前を変更すると、ワイヤ互換性が無声で破壊されます。シリアライゼーション境界を超えるあらゆる型について、タグを公開 API の一部として扱ってください。

Enum を 1 から開始

初期化されていない値と有効な値を区別するために、enum をゼロ以外から開始します。

const (
  Add Operation = iota + 1  // Add=1, ゼロ値 = 初期化されていない
  Subtract
  Multiply
)

例外: ゼロが適切なデフォルト値である場合 (例: LogToStdout = iota)。

Time、構造体タグ、埋め込み

生の int ではなく time.Time/time.Duration を使用する場合、マーシャルされた構造体にフィールドタグを追加する場合、または公開構造体に型を埋め込むかどうかを判断する場合は references/TIME-ENUMS-TAGS.md を読んでください。

可変グローバルを避ける

パッケージレベル変数を変更する代わりに、依存関係を注入します。これにより、グローバルな保存/復元なしでコードをテストできるようになります。

type signer struct {
  now func() time.Time  // 注入済み; テストで固定時刻に置き換え
}

func newSigner() *signer {
  return &signer{now: time.Now}
}

グローバル変数が適切かどうかを判断する場合、New() + Default() パッケージ状態パターンを設計する場合、または可変グローバルを依存注入で置き換える場合は references/GLOBAL-STATE.md を読んでください。

暗号 Rand

キー生成に math/rand や math/rand/v2 を使用しないでください — これは セキュリティ上の懸念 です。時刻シードされたジェネレータは予測可能な出力を持ちます。

import "crypto/rand"

func Key() string { return rand.Text() }

テキスト出力の場合は、crypto/rand.Text を直接使用するか、encoding/hex または encoding/base64 でランダムバイトをエンコードしてください。

---

Panic と Recover

panic は本当に回復不可能な状況でのみ使用します。ライブラリ関数は panic を避けるべきです。

func safelyDo(work *Work) {
    defer func() {
        if err := recover(); err != nil {
            log.Println("work failed:", err)
        }
    }()
    do(work)
}

重要なルール:

• パッケージ境界を越えて panic を漏らさないこと — 常にエラーに変換する
• ライブラリが本当にセットアップできない場合、init() で panic することは許容される
• サーバー goroutine ハンドラで panic を分離するために recover を使用

HTTP サーバーで panic リカバリを書く場合、パーサーで panic を内部制御フロー機構として使用する場合、または log.Fatal と panic の間で選択する場合は references/PANIC-RECOVER.md を読んでください。

Must 関数

Must 関数はエラー時に panic します — プログラム初期化中に のみ 使用します。失敗はプログラムが実行不可能であることを意味します。

var validID = regexp.MustCompile(`^[a-z][a-z0-9-]{0,62}$`)
var tmpl = template.Must(template.ParseFiles("index.html"))

カスタム Must 関数を書く場合、与えられた呼び出しサイトで Must が適切かどうかを判断する場合、またはフォールバック初期化を panic ヘルパーで包装する場合は references/MUST-FUNCTIONS.md を読んでください。

---

関連スキル

• エラーハンドリング: エラーを返すか panic するかの選択、または境界でのエラーのラッピングについては go-error-handling を参照してください
• 並行安全性: ミューテックス、アトミック、またはチャネルで共有状態を保護する場合は go-concurrency を参照してください
• インターフェースチェック: コンパイル時インターフェース満足度チェック (var _ I = (*T)(nil)) を追加する場合は go-interfaces を参照してください
• データ構造のコピー: スライス/マップの内部やポインタエイリアシングを扱う場合は go-data-structures を参照してください