ZERO-TRUST RUNTIME ATTESTATION

Go Runtime Guard 零信任运行时安全库

在业务容器启动阶段自动证明当前运行环境属于企业信任域；若处于非授权环境（如镜像被拖走运行在私有云或非法 AWS 账号），进程立即自毁退出。

双路径无感环境验证机制

集成成本趋近于零：业务开发人员无需编写任何验证分支代码，引入即在 init() 阶段自动完成校验。

本地 docker run 或调试时，通过 RUNTIME_GUARD_OIDC_TOKEN 传递 SSO 获取的 JWT，验证器严格校验签名、受众、过期时间及编译期注入的 TrustedIssuer。

读取 K8s SATVP 投影令牌文件，向 AWS STS 发起 AssumeRoleWithWebIdentity 换取身份，严格比对 Account ID 是否在编译期注入的可信账号列表中。

信任锚点（TrustedIssuer 与 TrustedAccounts）不支持运行时环境变量热修改，必须在 CI 构建时通过 ldflags 静态注入，杜绝环境变量篡改欺骗。

当运行 go test 单元测试时，库自动探测测试进程（-test.v 或 .test 后缀）并在 init() 阶段跳过验证，防止因缺少凭证导致测试崩溃。

查阅编译注入脚本与多云 IRSA 挂载指南，实现镜像防泄露全自动加固。