govulncheck 是 go 官方推荐的漏洞扫描工具，但需配合 -test 参数扫描间接依赖，结合 go mod verify 和 golangci-lint 等多工具协同，才能全面防控安全风险。
直接用 govulncheck 扫描，但别只扫主模块
装完 Go 环境后，govulncheck 是唯一官方推荐的依赖漏洞扫描工具，但它默认只检查你项目里显式声明的直接依赖（go.mod 中的 require），而真实风险常藏在间接依赖里。比如 golang.org/x/net 被某个日志库悄悄拉进来，govulncheck ./ 可能漏掉——除非你加 -test 参数。
- 必须跑两遍：
govulncheck ./（业务代码+直接依赖） +govulncheck -test ./（测试代码链路，常暴露被忽略的 transitive 依赖） - 扫描结果里看到
GO-XXXX-XXX编号，不是 CVE，这是 Go 官方漏洞编号，对应vuln.go.dev数据库，别拿它去搜 NVD - 如果输出 “no vulnerabilities found”，不等于安全——可能只是当前版本没被收录，或你的调用路径没进 govulncheck 的 callgraph 分析范围
go list -m all 配合关键词人工盯包
govulncheck 会跳过 test-only 依赖，而有些高危包（如 golang.org/x/crypto、github.com/gorilla/mux）只在测试里用，线上不用，但 CI 构建时仍会下载。这类包不会出现在 govulncheck 报告里，却可能被恶意篡改或含已知漏洞。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 执行
go list -m all | grep -E "(golang\.org/x|github\.com/.*\.(sql|http|crypto))"，手动翻一遍高频风险包列表 - 对每个可疑模块，查它的
go.mod里是否声明了// indirect，再用go mod graph | grep 包名看谁引入了它 - 特别注意
golang.org/x/net和golang.org/x/text：它们被大量标准库周边包依赖，但 govulncheck 不保证全覆盖分析其所有子功能
go mod verify 必须进 CI，且不能只信 go.sum
go.sum 只校验“和上次构建用的依赖一模一样”，不保证第一次引入的就是干净的。你本地 go mod download 成功，不代表没下到被污染的模块——尤其当你用了私有 proxy 或 GOPROXY=fallback 模式时。
- CI 流水线第一行就该跑
go mod verify，失败直接中断；它会比对本地go.sum和 sum.golang.org 公共日志里的哈希，防中间人攻击 - 设置环境变量
GOSUMDB=sum.golang.org强制启用远程校验，别依赖默认值（某些旧版 Go 默认关掉了） -
go.sum文件必须提交 Git，且每次go mod tidy后要人工确认新增条目来源是否可信——比如突然多了个github.com/xxx/yyy@v0.0.1，得查它是不是你团队维护的内部库
别忽略 go vet 和 golangci-lint 的安全类检查
依赖漏洞是显性风险，硬编码密钥、不安全的 http.Redirect、未校验的用户输入才是更常见的线上漏洞源头。这些 govulncheck 完全不管，得靠静态分析工具提前卡住。
-
go vet -vettool=$(which unused)这类扩展分析器能发现未使用的变量，间接提示可能废弃但留着的危险逻辑 -
golangci-lint开启gas（Go AST Scanner）插件，能报出os/exec.Command拼接字符串、net/http.ServeMux未加认证等典型问题 - 重点配置规则：
sqlclosecheck（DB 连接未关闭）、bodyclose（HTTP 响应体未关闭）、insecureconfig（TLS 使用弱 cipher）——这些不写进 .golangci.yml 就等于没开
govulncheck -test + go mod verify + golangci-lint --enable gas 这三道检查在 CI 里串起来跑；任何一道被绕过，都可能让一个 GO-2025-XXXXX 漏洞在上线后才被安全团队从日志里翻出来。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
