SBTI 最近突然爆火，这可能并不仅仅是一个玩笑。大家没测的赶快去测一下，你们都是什么样的“SBTI 人格”呢？

大家好，欢迎收听老范讲故事的 YouTube 频道。

SBTI 为什么突然火了？

最近 SBTI 突然爆火，又是一个现象级产品出现了。这个 SBTI，其实就是把 MBTI 这个人格测试改了两个字母，意思叫“沙雕大型人格测试”。它的形式跟 MBTI 也很像，都是答题，然后出一个四个字母的结果，还有一个人格标签，以及一个像 MBTI 风格的小人偶。但它的气质完全不一样。

MBTI 还是想把自己做得稍微认真一点。其实 MBTI 本身也不是一个特别严肃认真的科学，这个要讲清楚。但 SBTI 更加搞怪、更加玩梗，而且它还故意借用了那种熟悉的人格测试美术包装和结果展示方式，让人一眼就知道，这好像是一个性格测试。这一点其实挺有意思。

这里要提醒一个关键点，很多人可能没有注意到：SBTI 看起来虽然像是一个玩笑，但它并不是一个随机乱写的东西。根据官方页面，它背后还是有一整套轻量级结构：15 个维度、5 个模型、27 个结果。

普通用户测试通常是 31 道题，老范自己去测也是 31 道题。如果触发了隐藏的饮酒分支，也就是喝酒分支，会有第 32 道题，但老范没看到。所以它并不单纯是在拿你玩一个梗，最后测出来的东西还是有些意思的。

结果通常有 27 种，其中 25 种是标准结果，还有 2 种特殊结果，待会儿再解释。老范当然也去测了，测完以后绝不藏着掖着，马上告诉你们：老范测出来的是“SEXY 尤物”。什么是尤物？就是性感、自信、魅力拉满。好开心。

你看，这类测试最厉害的地方就在这儿：它不一定科学，但还是会让你忍不住多看两眼，甚至想发出来炫一下。地址就是 sbti.dev，大家点进去试试就行。

SBTI 的玩法有什么特别之处？

这个东西的核心优点是门槛极低，不需要注册，上去就可以玩。玩完以后它也不记任何东西，打开就是开始答题。31 道题是随机排列的，你不一定知道哪道题是第一道、哪道题是第二道，但总共就是这 31 道题。据说有第 32 题，反正老范没看到。

它给出的问题和答案也比较无厘头，大部分就是让你做一个即时判断。

比如有一道题，题目写的是“这个题没问题”，答案 A 是“我三思以后最后决定选 A”，B 写的是“我就想选 B”，C 写的是“我觉得 C 对”。

还有一些题，会把你描述得很惨，各种方面都不成功，特别屌丝，然后问你看完以后是什么感受，比如“我哭了”“我觉得无所谓”“你说什么呢”。

还有一个题老范印象比较深刻，说你的对象，也就是你的另一半，不管是男他还是女她，简直完美无缺：又帅或者又漂亮，又温柔贤惠，又体贴，又有钱，还照顾父母，还特别善良，简直是完人。然后问你是自惭形秽，还是觉得“就应该这样”，或者别的什么反应。它有很多这种题。

基本上 5 分钟答完、5 秒钟出结果、再花 5 秒钟分享出去，大概就是这样一套玩法。

SBTI 爆火的几个核心原因

1. 借用了 MBTI 的认知基础

第一个原因，就是它在 MBTI 的基础上做了一个很像的东西，不是从头开始。因为这种东西一旦从头开始，就需要很长时间做用户教育。

MBTI 这个东西，你别看现在大家玩得很嗨，它其实也经历了非常漫长、几十年的发展历程，有很长的市场培育阶段，甚至还跑到很多地方去讲课。到了互联网时代，它才快速爆发出来。而 SBTI 等于是在这个基础上做了一次嫁接，所以很快就出来了。

2. 参与门槛极低

第二个原因，就是门槛很低。

不需要注册，不需要登录，也没有复杂操作。用户打开就能做，做完就能走，这种极轻量的体验天然适合传播。

3. 传播性极强

第三个原因，就是它有极强的传播性。传播性主要有几块：

• 我可以快速把它发出去；
• 我没什么心理负担；
• 它的结果总能让我感到某种程度的共鸣。

为什么它说得不准，你还能共鸣？因为它说的很多东西，其实属于社会共有认知。你会觉得，这个事情我身上好像也有一点；我朋友测出来那个，好像也有点像。

它有点像以前说相声里那种“怎么说都对”的算命方式。再加上人在现在这个状态下，有一些社会情绪本来就是共通的，比如现在大家都很丧、都躺平、都觉得努力无望，这些本身就是社会共知。

有些人看完了以后会说“不准”，那也没问题，你不是它的目标用户，你不传播就算了。剩下愿意传播的人，才是它的目标用户。

这有点像有些骗子做股市预测：先给 1 万个人发预测，给 5000 人发涨，给 5000 人发跌。第二天如果真的涨了，那收到“跌”的 5000 人就不要了，对剩下 5000 个收到“涨”的人再继续发。再过一天，还会继续筛。过了四五天，剩下一两百人时，这些人就会觉得这个预测者简直是神，每次都准。所以有些传播机制就是这样运转的。

这些点都踩中了，它不火都难。

SBTI 的结果类型怎么分？

在小红书上，老范看到有人把 SBTI 的二十几种结果分成了 7 类。咱们看看各自属于哪一类。还记得老范是哪一类吗？老范是“尤物”，很有魅力的那种。

1. 彻底摆烂型

关键词是精神耗尽、无欲无求、躺平、拒绝竞争。

• 死者：精神已死，只想躺平；
• 装死者：用拖延或者回避逃避现实；
• 马喽：拒绝内卷，只想吃睡摸鱼；
• 僧人：看破红尘；
• 废物：极度摆烂、自暴自弃。

2. 内耗焦虑型

关键词是想太多、自我攻击、后悔、行动弱。

• 自我攻击者：极度内耗，习惯性否定自己；
• 思考者：过度复盘，这里的“思考者”不是正面词，是贬义；
• Ohahano：老范把它叫“欧布人”，就是什么都不行的那种，自带翻车预期，干什么都觉得干不成；
• 小丑 Joker：努力过后觉得自己像个笑话；
• 多情者：恋爱脑，持续心动。

3. 情绪外放者

关键词是反应夸张、表达直接、情绪显性。

• 卧槽人：一点小事就炸毛；
• 傻乐者：快乐至上，什么事都好开心；
• 酒鬼：用酒精释放情绪；
• 狗屎人 shit：愤世嫉俗，嘴硬心软。

4. 人际依赖和讨好型

特点是在意别人眼光，习惯付出和依附，容易受伤。

• 送钱者：不懂拒绝，像提款机一样；
• 妈妈：过度操心；
• 感恩者：别人一点点好就会记很久；
• 伪人 fake：双面切换，戏感、表演感特别强。

5. 独行掌控型

掌控欲和气场都很强。

• boss：喜欢决策和掌控；
• 尤物：性感、自信、魅力拉满；
• solo：孤儿独行者，习惯独来独往。

6. 积极行动型

特点是行动快、生命力强、拒绝内耗。

• 行者 go go：想到就做；
• 野草者：一个以 F 开头的词，意思大概是逆来顺受，但生命力极强，无法拒绝，那就享受吧；
• 贫穷者 poor：钱少但心态开阔，精神富有。

7. 随缘无畏型

关键词就是没脾气、没主见、干啥都行。

• OJBK：也叫“无所谓人”，极致随缘，主打一个随便都行，干什么都可以。

这 20 多种基本就在这里了，大家可以看看自己测出来属于哪一类。

为什么这么“傻”的产品反而会火？

有人会说，这产品看着挺傻的，这么傻的产品为什么会火？我们费半天劲做出那么牛的产品它不火，这么傻的产品怎么就火了？

首先得承认，这个产品确实很傻。它就是一个在 Vibe Coding 之下快速实现的产品原型，只能叫原型案，叫完整产品都算侮辱“产品”这两个字了。

但它火的原因也很明确。

1. 大家压力都很大，严肃的东西看着实在太累了；
2. MBTI 已经被用到求职、交友、恋爱，甚至晋升筛选，SBTI 本质上是对这种现象的一种嘲讽；
3. 它让人可以毫无压力地暴露自己、顺便自嘲；
4. 它的题目和结果未必精准，但一定能制造共鸣。

像老范是“尤物”，一点压力都没有。而且前面还有个 “SB”，大家当然会觉得很好玩，自嘲一下也挺开心。

因为现在也没那么多人有偶像包袱。谁不比谁混得惨啊，大家都这样，那自嘲一下，让自己开心一点，有什么不好呢？

它本质上不是一个心理学爆款，而是一个传播学爆款。大家可以仔细研究一下，它为什么会传播。

从产品角度看，SBTI 有什么特点？

这个产品看起来确实很简陋。前端不重，连用户注册、用户登录都没有，也没有后续的发展设计。它不会告诉你“你是什么类型，应该怎么改变”“你这个类型适合去哪求职”，什么都没有，就是很简单的一层，完事了。

逻辑也不复杂。31 道题答完以后，后台大概有一个公式系统，公式也不麻烦，直接算出你到底属于哪一类。它也没有复杂的社交关系链。

按道理说，一个会传播的产品，传播出去以后应该把用户再拉回来，在平台里重新创造内容，慢慢把用户聚集起来，形成“内容吸引人，人再产生内容”的循环。但它压根没这么干。就是你发完，开心完，没了，它也不要求你回来。

所以它的核心价值主要来自于：

• 选题；
• 文案；
• 标签体验；
• 传播设计。

SBTI 是谁做的？

这个产品据说是 B 站上一位 UP 主做的，叫“蛆肉儿串儿”。他做这个项目的原因，是为了劝一位爱喝酒的朋友去戒酒。这种产品按理说一晚上或者两晚上就能搞出来，没想到突然爆火了。

当然，蛆肉儿串儿背后到底是个什么样的人，是否有其他成熟商业团队，这件事并没法验证。目前能确认的，基本就是 B 站 UP 主做的。

所以这个看起来很傻的产品，具备几个关键点：

• 认知入口熟悉，借的是 MBTI；
• 参与成本低，不需要注册；
• 情绪价值明确，我可以拿它来自嘲；
• 结果适合截图，适合分享，适合传播；
• 文案很会损人，让你觉得有一点点小冒犯，但又不过分；
• 用户也很愿意拿它来当社交梗。

SBTI 的社交价值为什么很高？

其实很多时候，大家做这些事本来就是为了社交。老范以前有一位朋友，也是做投资的，他特别认真地研究星象、星座。后来我问他，你真信这个吗？他说不信。

我说，那你研究它干嘛，难道你真靠星座去选项目？他说，也不会。我又问，那你为什么还研究？他说，两个陌生的人坐在一起，总得有个话题打破僵局吧。跟年轻人聊星座，就是一个很好打破僵局、找到共同语言的话题。

我也见过一些专门做老年项目的人，去研究八卦、看相。他们也不会因为看个相、算个八字，就决定投不投你的项目。没有这个。这就是一个话题，这就是社交价值。所以 SBTI 的社交价值也是很大的。

SBTI 会持续发展壮大吗？

那么这种产品会不会继续发展壮大？会不会因为它是现象级产品，大家就该赶紧冲进去？

老范的判断是：大概率不会。

原因并不复杂。因为这种项目来得快、量得猛，截图到处飞，但很短一段时间就会过去。新鲜感一过就没了。因为它没有做信息沉淀，也没有做任何市场教育。

你本来就是建立在 MBTI 的基础上做的，一旦深究起来，你没有办法单独积累用户和品牌，这个事没法做。它的核心就是第一次的新鲜感，大家玩完就完了。

你说老范会不会反复去测，测完以后每次都兴奋地跟别人讲？不会。第一次测完了，跟大家讲一下，“我是尤物，好开心”，然后就没有然后了。我也不会反复去刷，非要把第 32 道题刷出来，我没那闲工夫。

所以这个产品就是典型的：有爆发，没留存。

而且它是 Web coding 做的，门槛极低。你如果对心理学、MBTI 这些东西比较熟悉，也不能说分分钟吧，一晚上两晚上做出来并不难。所以这件事本身没有特别高的门槛。综合这些原因，它基本不太可能一直火下去。

投资人会投 SBTI 这样的项目吗？

咱们再说一个老范更内行的话题：投资人看到这种项目会投吗？

这个事很有意思。如果把 SBTI 这样的产品扔进投资机构里，大概会有几种典型反应。

第一种反应：这么烂的产品，没看头

这种人一般岁数比较大、比较保守，他连 MBTI 是什么都未必搞清楚，更别说 SBTI 了。再加上产品本身非常简陋，他们会觉得这种产品没有技术壁垒、没有商业闭环，只是一次流量事件，护城河太浅。

这个观点并不奇怪。但如果一个天使轮或者种子轮投资人这样想，那建议向上升级，你比较适合投 B 轮、C 轮，天使轮、种子轮不太适合这样的人。

第二种反应：我自己做肯定比这更好

这样的人也很多。比如一些大公司，后面有很多产品经理、很多程序员，他们看很多产品都会这么想：这玩意儿做成这样，我做得比他好。

这种人其实是把自己擅长的东西放大了，却没有发现产品真正的亮点。一般我们遇到这种人，也只能说，那你去做吧。

还有一些投资人，可能自己投过别的团队，对那个团队有很强的个人感情。这种情况下，他也会觉得，没准我投的那个团队也能把这个做好。还有些投资人，看到自己不太懂的领域，会去问以前投过的团队，结果得到的也经常是类似结论：“这个东西让我做，我做得比他们强”“这个东西我做过，做不起来”。这也是常见情况。

第三种反应：现象级产品一定能做大做强

第三种反应最危险，就是一看到现象级产品，就觉得要做大做强。这个特别危险。因为这个产品刚才已经讲了，它本身是做不起来的。你想在这个产品基础上继续深挖、继续做大，非常难，而且最后一定会走歪。

这是一个非常原始的原型产品。你说我在这个基础上往前做，根本不现实。因为底层 IP 也不是自己的，你真做大了以后，马上就可能被人告，所以这条路根本没戏。

老范见过挺多项目，早期被投资人投了以后，团队突然就不知道自己是谁了。什么意思？就是原来他只是做一个产品试一下，结果有投资人特别喜欢，啪，投了。投完以后，不是鼓励他去试别的，而是要求他一定要在这棵树上吊死。最后就真的在这棵树上吊死了。有些投资人就是这样，投完以后你不许改，你就给我做这个，结果真做不出来。

投资这种项目，正确的思路是什么？

那么正确的玩法是什么？正确的玩法是看团队。

如果这个团队有再做出下一个爆款的潜质，知道这次为什么火，也知道哪里不足，还知道有哪些竞品、哪些地方可以放大，不会死守一棵树，那么这种团队是可以谈的，甚至投一个种子轮都不是不可能。这才是正常的种子轮投资人和天使投资人应该思考的方式。

投资人在这个阶段真正该看的，压根不是产品和赛道。不是一上来就看商业是不是闭环，或者别人是不是可以做得比你更好。因为无论是“别人能不能做得更好”，还是“我们能不能在这基础上做大做强”，前提都是你还在做这件事。

但真正值得思考的，是：我们要的不是这个产品，我们要的是这个团队。

这个团队有没有能力做出这个产品，而且还能够一次一次再做出类似的产品？如果有，那么不一定哪一次它就撞上了正确的门，有机会真正做大做强。这才是正确的思考方式。

一个值得投资的团队应具备哪些能力？

• 快速洞察社会情绪；
• 把洞察写成有传播力的文案；
• 低成本快速上线；
• 用产品承接内容传播；
• 爆了之后还能持续握住流量，或者即使流量没留住，也知道为什么没留下来，以后应该怎么做；
• 有机会打中下一次热点。

如果发现这个团队不具备这些能力，那它有可能真的只是瞎猫碰上死耗子。这种情况其实经常会发生。

所以，值得投资的不是 SBTI 这个产品或者这个赛道；但是如果一个团队能够持续做出类似 SBTI 这样的产品，或者持续制造这种现象级热点，那么这个团队或者这个人就是有价值的。

最后总结：SBTI 给了我们什么启示？

最后总结一下。这个 SBTI 可能并不仅仅是一个笑话。我们通过这个笑话开心一下之后，还是可以研究一下它背后到底带来了什么启示。

它不是严肃的心理学革命，也未必能长成一家长期公司，但它至少说明了一件事：今天一个小产品能火，不一定靠复杂技术，更多时候靠的是你能不能把握时代情绪，能不能把这种时代情绪翻译成一个人人都愿意点开、愿意做完、愿意传播的东西。

所以在现在这样的时代，有了 Web coding 以后，不管你是不是程序员，都可以把自己的想法拿出来试试。不一定非得做 SBTI，也不一定非得做传播、做流量产品。你完全可以在 Web coding 的基础上，把自己原来的认知包装一下，做出来，去试一试。你没试过，怎么知道不能成功呢？这才是这个产品真正给我们的启示。

好了，别想太多了。如果还没有测过 SBTI 的，去测一个。测完以后，欢迎把你们的测试结果发在老范的评论区里，咱们一起开心一下。

好，这个故事就讲到这里。感谢大家收听。请帮忙点赞、点小铃铛、参加 Discord 讨论群，也欢迎有兴趣、有能力的朋友加入我们的付费频道。再见。

---

背景图片

本文永久链接 – https://tonybai.com/2026/02/20/why-we-need-new-go-module-review-mechanism

大家好，我是Tony Bai。

你以为你在 GitHub 上看到的代码，就是你的 Go 程序编译时使用的代码吗？答案可能令你背脊发凉。

在 Go 语言的生态系统中，我们一直引以为傲的是其卓越的包管理和安全性。Go Checksum Database（校验和数据库）被公认为现代编程语言中最强大的完整性保障机制之一。然而，前 Go 安全团队负责人、著名的密码学家 Filippo Valsorda 在最近的一篇文章中揭示了一个令人不安的真相：虽然 Go 的工具链是安全的，但我们人类审查代码的方式却存在巨大的安全漏洞。

本文将深入探讨这一安全隐患的成因，剖析著名的“虚假 BoltDB”攻击案例，并介绍 Filippo 及其团队 Geomys 推出的解决方案——pkg.geomys.dev，一个致力于填补这一信任缺口的源码查看服务。

Go 的安全基石：坚不可摧的 SumDB

在深入探讨漏洞之前，我们有必要先回顾一下 Go 语言为何被誉为拥有“无可争议的最佳包完整性故事”。这主要归功于 Go Checksum Database (SumDB)。

Go 模块的获取本质上是去中心化的。你可以直接从 GitHub、GitLab 或任何 Git 托管服务上拉取代码。例如，当你运行 go get github.com/example/mod@v1.2.3 时，Go 工具链（在 GOPROXY=direct 模式下）会直接克隆对应的 Git 仓库并检出 v1.2.3 标签。

这种去中心化虽然灵活，但带来了巨大的安全风险：如果代码托管方（如 GitHub）被入侵，或者作者遭受胁迫修改了代码，亦或是作者恶意 Force-push（强制推送）覆盖了标签，下游用户该如何察觉？

SumDB 应运而生。它的工作原理如下：

1. 首次记录：当某个模块版本第一次被 Go 生态系统中的任何人请求时，Go 代理（Proxy）会下载该模块，计算其内容的加密哈希值，并将其永久记录在 SumDB 中。
2. 永久锁定：SumDB 是一个透明日志（Transparency Log），类似于区块链的 Merkle Tree 结构。这意味着记录一旦写入，就无法被篡改或删除（即使是 Google 也做不到）。
3. 全网一致：此后，世界上任何一台机器下载该版本的模块时，Go 工具链都会计算本地下载内容的哈希，并与 SumDB 中的记录比对。如果 GitHub 上的标签被篡改导致哈希不匹配，构建将直接失败。

这种机制比传统的 PGP 签名或作者管理私钥要实用得多，同时提供了极高的安全性保障。

信任链的断裂：人类的“弱点”

既然 SumDB 如此完美，漏洞从何而来？

Filippo 指出，漏洞不在于机器，而在于人。

每当我们直接在代码托管平台（如 GitHub）上阅读代码时，我们就引入了一个薄弱环节。

Go 工具链验证的是下载到本地缓存中的 ZIP 包的哈希值。而我们在浏览器中打开 https://github.com/example/mod/blob/v1.2.3/exp.go 时，看到的是 GitHub 当前展示的 v1.2.3 标签对应的内容。

关键问题在于：Git 标签是可变的（Mutable）。GitHub 允许维护者强制推送标签。一个恶意的维护者（或攻击者）可以这样做：

1. 发布一个包含恶意代码的 v1.2.3 版本。
2. 诱导受害者（或通过自动化的 Go Proxy）下载该版本，使其恶意哈希被记录在 SumDB 中。
3. 立即 Force-push 一个“干净”的 v1.2.3 版本覆盖原标签。
4. 当安全研究员或用户去 GitHub 审查代码时，他们看到的是干净的代码，认为一切正常。
5. 但受害者的 go.sum 中已经锁定了那个恶意的哈希，他们的构建使用的是恶意代码。

这种“狸猫换太子”的攻击方式，利用了 Web 界面（GitHub）与构建工具（Go Toolchain）之间的数据源不一致。

真实案例回顾：虚假 BoltDB 投毒事件

这并非理论上的恐慌，而是已经发生的现实。

去年，Go 生态系统遭受了一次经典的域名抢注（Typosquatting）攻击。攻击者发布了一个名为“BoltDB”的虚假模块（利用了大小写或相似名称的混淆）。为了掩人耳目，攻击者利用了上述机制：

• 恶意代码被发布并被 Go Proxy 缓存。
• 随后，攻击者向 GitHub 强制推送了无害的代码。
• 当社区发现有可疑模块并试图去 GitHub 审查时，看到的只有人畜无害的代码逻辑。

当时，一些评论员错误地将此归咎于 Go Module Mirror 的缓存机制。但 Filippo 一针见血地指出：这本质上是利用了 GitHub Web 界面天然缺乏验证机制的漏洞。GitHub 展示的代码，并不是 Go 工具链正在使用的、经过 SumDB 验证的“真实”代码。

如何正确地审查 Go 模块？

既然 GitHub 不可信，作为开发者，我们该如何确保自己在审查“正确”的代码？

方案 A：本地硬核审查（CLI）

最安全的方法是将 Go 工具链实际使用的代码下载到本地进行审查。Filippo 给出了一个基于命令行的解决方案：

cd $(go mod download -json filippo.io/age@v1.3.1 | jq -r .Dir)

这条命令做了三件事：

1. go mod download：通过 Go 代理下载指定版本的模块，并自动进行 SumDB 校验。
2. -json：输出模块的元数据，包括其在本地缓存中的解压路径。
3. cd：直接进入该目录。

在这个目录中看到的代码，才是绝对真实、不可抵赖的代码。此外，Go 团队也正在开发 go mod verify -tag 命令（预计将在Go 1.27版本落地），用于验证本地 Git 仓库的内容是否与 SumDB 匹配，这将进一步简化本地审查流程。

方案 B：全新的在线审查工具——pkg.geomys.dev

虽然本地审查最安全，但不得不承认，在浏览器中点击 pkg.go.dev 的链接查看源码实在是太方便了。为了在“便利性”和“安全性”之间取得平衡，Filippo Valsorda 开发了一个全新的服务：pkg.geomys.dev。

这是一个类似于 go-mod-viewer 的源码查看器，但它在设计上完全针对安全性与现代体验进行了优化。它的核心价值在于：展示经 Go Proxy 和 SumDB 确认的、真实的 ZIP 包内容，而非 GitHub 上的 Git 仓库内容。

其核心特性包括：

1. 真实源头：它不克隆 Git 仓库，而是直接处理 Go 模块的 ZIP 归档文件。这确保了你看到的代码与 go get 下载的代码完全一致。
2. 优秀的阅读体验：支持语法高亮、行/多行链接、多种字体选择、自动暗色模式，以及完整的文件树和版本浏览器。
3. 浏览器插件支持：Filippo 提供了 Chrome 和 Firefox 插件。安装后，当你在官方的 pkg.go.dev 上点击源码链接时，它会自动将原本指向 GitHub 的链接重定向到 pkg.geomys.dev，实现无缝的安全升级。

它是如何工作的呢？

这个服务的实现非常精妙，充分利用了现代 Web 技术：

• HTTP Range 请求：它不需要下载整个模块的 ZIP 包。通过 HTTP Range 请求，它只获取 ZIP 文件的目录结构和特定文件的压缩数据。
• 浏览器端解压：解压缩过程直接在用户的浏览器中完成。这不仅减轻了服务器压力，也提高了响应速度。
• 未来的去中心化：目前的版本信任 Google 的 Module Proxy 提供的 ZIP 文件。Filippo 计划在未来（待 proxy.golang.org 修复 CORS 配置后）引入透明日志证明检查。届时，浏览器将能独立计算目录哈希（Dirhash），并与 SumDB 进行比对，甚至通过第三方八卦协议（Gossip）验证 SumDB 的一致性，从而实现真正的“零信任”安全查看。

对 Go 生态系统的启示

Filippo 的这项工作（以及背后的 Geomys 组织）不仅仅是造了一个轮子，它向整个软件供应链安全领域提出了一个严肃的问题：我们所依赖的基础设施，是否能够支撑“代码即法律”的信任？

长期以来，我们将 GitHub 视为代码的“真理之源”。但在现代包管理机制下，真理之源已经转移到了不可篡改的构件（Artifacts）和透明日志上。Go 语言通过 SumDB 先行一步，而工具链的配套设施（如 IDE、代码浏览器）也必须跟上这一步伐。

此外，Geomys 组织的运作模式也值得关注。它是由 Ava Labs、Teleport、Tailscale 和 Sentry 等知名科技公司资助的专业维护者组织。这种通过商业公司联合资助关键开源基础设施维护者的模式，或许是解决开源可持续性问题的一条新出路。

小结：与行动建议

作为一名负责任的 Go 开发者，我们应当意识到“便利”背后的代价。为了防止下一个“虚假 BoltDB”事件发生在你的项目中，我们建议：

1. 改变习惯：在进行安全性要求较高的代码审查（Security Review）时，不要盲目信任 GitHub 的 Web 界面。
2. 尝试新工具：安装 pkg.geomys.dev 的浏览器插件，将你的默认源码查看器切换到更安全的模式。这不仅是为了安全，也是为了获得比 GitHub 更纯粹的阅读体验。
3. 理解机制：深入理解 go.sum 和 SumDB 的工作原理。它们不是为了给 Git 仓库做备份，而是为了构建一个独立于代码托管商之外的信任锚点。

安全，往往隐藏在这些看似微不足道的细节之中。

---

参考链接：

• Inspecting the Source of Go Modules – Filippo Valsorda
• pkg.geomys.dev

---

你会怎么审代码？

习惯了在网页上“指点江山”的我们，可能都忽略了 ZIP 归档才是唯一的真理。在你的开发流程中，是否也曾遇到过 GitHub 源码与本地代码不一致的“灵异事件”？你会为了安全而安装那个将链接重定向到 pkg.geomys.dev 的插件吗？

欢迎在评论区分享你的安全观！

---

还在为“复制粘贴喂AI”而烦恼？我的新专栏 《AI原生开发工作流实战》 将带你：

• 告别低效，重塑开发范式
• 驾驭AI Agent(Claude Code)，实现工作流自动化
• 从“AI使用者”进化为规范驱动开发的“工作流指挥家”

扫描下方二维码，开启你的AI原生开发之旅。

---

你的Go技能，是否也卡在了“熟练”到“精通”的瓶颈期？

• 想写出更地道、更健壮的Go代码，却总在细节上踩坑？
• 渴望提升软件设计能力，驾驭复杂Go项目却缺乏章法？
• 想打造生产级的Go服务，却在工程化实践中屡屡受挫？

继《Go语言第一课》后，我的《Go语言进阶课》终于在极客时间与大家见面了！

我的全新极客时间专栏 《Tony Bai·Go语言进阶课》就是为这样的你量身打造！30+讲硬核内容，带你夯实语法认知，提升设计思维，锻造工程实践能力，更有实战项目串讲。

目标只有一个：助你完成从“Go熟练工”到“Go专家”的蜕变！ 现在就加入，让你的Go技能再上一个新台阶！

---

商务合作方式：撰稿、出书、培训、在线课程、合伙创业、咨询、广告合作。如有需求，请扫描下方公众号二维码，与我私信联系。

© 2026, bigwhite. 版权所有.

本文永久链接 – https://tonybai.com/2026/01/23/go-developer-2025-survey-result

大家好，我是Tony Bai。

近日，Go 官方发布了 2025 年开发者调查报告。作为 Go 社区的年度“体检报告”，这份基于 5,379 份有效问卷的数据，为我们勾勒出了一幅清晰的 Go 生态全景图。

总体来看，Go 依然是一个令人愉悦的语言，拥有极高的用户忠诚度和稳固的云原生地位。但在这份光鲜的成绩单背后，我们也看到了一些值得深思的信号：关于最佳实践的迷茫、对 AI 工具的爱恨交织，以及对官方领导力的期待。

今天，让我们抛开表面的数字，一起来解读一下这份报告背后的趋势与挑战。

画像：成熟、专业，但新人“断层”？

首先，让我们看看是谁在使用 Go。

• 专业主义：87% 的受访者是专业开发者，82% 将 Go 用于主要工作。这再次印证了 Go 是一门“为生产而生”的语言。
• 经验丰富：75% 的开发者拥有 6 年以上的职业编程经验。更有意思的是，81% 的人表示他们的职业经验长于 Go 经验。这意味着绝大多数 Gopher 都是从其他语言（如 Java, Python）“转行”而来的。

隐忧：使用 Go 不满 1 年的新人比例从 2024 年的 21% 下降到了 13%。

这可能并非 Go 的吸引力下降，而是受宏观经济影响，入门级软件工程师岗位的招聘紧缩。由于许多人是为了特定工作才学习 Go，招聘市场的寒冬直接传导到了新人的流入率上。这提醒社区，需要更多关注新人的入门体验和职业引导。

满意度：稳如泰山，但“成长的烦恼”依旧

Go 的核心竞争力依然坚挺：91% 的开发者对使用 Go 感到满意，其中“非常满意”的比例高达近 2/3。这一数据自 2019 年以来一直保持极高水平。

开发者们爱 Go 的理由很纯粹：简单、标准库强大、工具链完善。

一位来自能源行业的 10 年+ 资深开发者评价道：“我使用 Go 的全部原因就是其出色的工具和标准库… 它让开发面向服务的应用变得简单而可靠。”

然而，痛点依然存在：

1. 最佳实践的迷茫 (33%)：这是连续多年的头号痛点。开发者们渴望官方能提供更具观点性 (opinionated) 的指导，比如“如何组织项目结构”、“如何优雅地处理错误”。
2. “别人家孩子”的功能 (28%)：许多开发者怀念其他语言的特性，如 Enum (枚举)、Sum Types、以及更简洁的错误处理（摆脱 if err != nil）。
3. 信任危机 (26%)：如何找到高质量、值得信赖的第三方模块？开发者希望 pkg.go.dev 能提供类似“稳定版本”、“用户数量”、“维护活跃度”等更明确的质量信号。

应用场景：云原生的统治者，AI 的探索者

Go 用来做什么？答案毫无悬念：

• CLI 工具 (74%)
• API 服务 (73%)
• 云基础设施工具 (38%)

这“三驾马车”构成了 Go 的基本盘。

但在最热门的 AI 领域，Go 的表现呈现出一种“双刃剑”态势。

• 开发者的态度：53% 的 Gopher 每天都在使用 AI 辅助编程工具。
• Go 的角色：尽管 11% 的人正在用 Go 构建 ML/AI 模型或工具，但78% 的受访者表示他们目前的 Go 项目不包含 AI 功能。相比 2024 年的 59% 未参与，这个比例反而上升了。这可能意味着初期的 AI 炒作冷却后，企业在生产环境中落地 AI 功能时变得更加谨慎。

AI 工具：既是蜜糖，也是砒霜

关于 AI 辅助编程（如 GitHub Copilot, ChatGPT，Claude Code, Gemini等），调查结果揭示了一个有趣的现象：用得越多，抱怨越多。

• 使用率：ChatGPT (45%) 和 GitHub Copilot (31%) 是主流，Claude (25%) 紧随其后。
• 满意度：虽然 55% 的人表示满意，但大部分只是“比较满意”，远低于对 Go 语言本身的满意度。

为什么？因为质量。

开发者们发现，AI 在“寻找信息”（如解释代码、查找 API 用法）和“消除苦力活”（如生成单测、写样板代码）方面表现出色。但在“编写核心代码”时，AI 经常生成不可运行、有 Bug 或不符合 Go 惯用写法 (Non-idiomatic) 的代码。

一位金融行业的开发者吐槽道：“我从未对 AI 生成的代码质量满意过……我也觉得审查 AI 生成的代码非常累人，这种开销扼杀了它的生产力潜力。”

官方的自我反思：文档与信任

这份报告最令人敬佩的一点，是 Go 团队对自己工作的坦诚审视。

• 文档导航：调查发现，即使是 go build、go run 这样最基础的命令，也有 15%-25% 的开发者需要频繁查阅文档。这说明 Go 命令行的帮助系统 (go help) 体验并不好，甚至有些“劝退”。
• 社区信任：与对语言本身的高满意度相比，开发者对“Go 团队是否理解我的需求”这一项的信心相对较低。一位受访者直言，随着第一代创始人逐渐淡出，他们对现任团队的决策方向感到担忧。

官方回应：Go 团队已明确表示，2026 年将重点投资于鼓励更多贡献者参与，并加强与社区的沟通，以重建信任。

小结：稳中求变

2025 年的 Go，像一位步入中年的稳重工程师。它在云原生领域有着不可撼动的地位，但也面临着来自新兴技术栈（如 AI 开发中 Python 的强势）和自身语言特性（如错误处理、枚举）的挑战。

对于 Gopher 而言，这份报告既是定心丸，也是冲锋号。它告诉我们：Go 依然是构建可靠后端服务的最佳选择，但我们也需要更积极地拥抱变化，探索最佳实践，并在 AI 浪潮中找到属于 Go 的独特生态位。

资料链接：https://go.dev/blog/survey2025

---

你的年度总结

看完这份官方报告，你觉得它准确反映了你的现状吗？在你看来，Go 语言目前最大的痛点是什么？对于 AI 辅助编程，你是“真香”还是“劝退”？

欢迎在评论区分享你的真实感受！让我们一起为 Go 社区的发展建言献策。

如果这篇文章让你对 Go 生态有了更全面的了解，别忘了点个【赞】和【在看】，并转发给你的 Gopher 朋友，看看他们怎么说！

---

还在为“复制粘贴喂AI”而烦恼？我的新专栏 《AI原生开发工作流实战》 将带你：

• 告别低效，重塑开发范式
• 驾驭AI Agent(Claude Code)，实现工作流自动化
• 从“AI使用者”进化为规范驱动开发的“工作流指挥家”

扫描下方二维码，开启你的AI原生开发之旅。

---

你的Go技能，是否也卡在了“熟练”到“精通”的瓶颈期？

• 想写出更地道、更健壮的Go代码，却总在细节上踩坑？
• 渴望提升软件设计能力，驾驭复杂Go项目却缺乏章法？
• 想打造生产级的Go服务，却在工程化实践中屡屡受挫？

继《Go语言第一课》后，我的《Go语言进阶课》终于在极客时间与大家见面了！

我的全新极客时间专栏 《Tony Bai·Go语言进阶课》就是为这样的你量身打造！30+讲硬核内容，带你夯实语法认知，提升设计思维，锻造工程实践能力，更有实战项目串讲。

目标只有一个：助你完成从“Go熟练工”到“Go专家”的蜕变！ 现在就加入，让你的Go技能再上一个新台阶！

---

商务合作方式：撰稿、出书、培训、在线课程、合伙创业、咨询、广告合作。如有需求，请扫描下方公众号二维码，与我私信联系。

© 2026, bigwhite. 版权所有.