govulncheck必须加-test参数才能扫描间接依赖漏洞，因其默认仅分析go.mod中显式require的包；高危模块如golang.org/x/net常藏于下游依赖中，需通过govulncheck -test ./触发测试路径的callgraph分析方可暴露。
govulncheck 必须加 -test 才能扫到间接依赖漏洞
只跑 govulncheck ./，大概率漏掉真实风险——它默认只分析你 go.mod 里显式 require 的包，而高危模块（比如 golang.org/x/net）往往藏在日志库、HTTP 客户端等下游依赖里。真实调用链没进分析范围，就等于没看见。
必须补上测试路径扫描：govulncheck -test ./。Go 会顺着 go test 的导入图做 callgraph 分析，很多被 _test.go 文件拉进来的包这下才暴露出来。
- CI 流水线里建议并行跑两遍：
govulncheck ./+govulncheck -test ./ - 看到
GO-XXXX-XXX编号别去 NVD 搜——那是vuln.go.dev的专属 ID，直接点开链接看官方复现条件和修复版本 - 输出 “no vulnerabilities found” 不代表安全，可能是当前调用路径没触发漏洞函数，或该漏洞还没被收录进数据库
go list -m all 是人工盯包的底线操作
govulncheck 会跳过 test-only 依赖，但有些包（如 github.com/gorilla/mux、golang.org/x/crypto）只在测试里用，线上不用，却仍会被 go mod download 下载进来。一旦被篡改或含已知 CVE，CI 构建环境就成攻击入口。
执行 go list -m all | grep -E "(golang\.org/x|github\.com/.*\.(sql|http|crypto))"，手动翻一遍高频风险包列表。对每个可疑模块：
- 查它的
go.mod是否带// indirect标记 - 用
go mod graph | grep 包名看谁把它拉进来的 - 特别盯住
golang.org/x/net和golang.org/x/text：它们被标准库周边大量引用，但govulncheck的分析覆盖率不保证 100%
go mod verify 不是摆设，必须进 CI 且强制校验 sum.golang.org
go.sum 只保证“和上次构建用的依赖一模一样”，不保证第一次引入的就是干净的。你本地 go mod download 成功，不代表没下到被污染的模块——尤其用了私有 proxy 或 GOPROXY=fallback 模式时。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
CI 第一行就得跑 go mod verify，失败直接中断。它会比对本地 go.sum 和 sum.golang.org 公共日志里的哈希，防中间人攻击。
- 设环境变量
GOSUMDB=sum.golang.org强制启用远程校验，别信默认值（某些旧版 Go 默认关掉了） -
go.sum必须提交 Git，每次go mod tidy后要人工确认新增条目来源是否可信——比如突然多了个github.com/xxx/yyy@v0.0.1，得查它是不是你团队维护的内部库 - 如果用了内网代理（如 athens），
GOSUMDB必须配成对应私有校验服务，不能留空或设成off
GOPROXY 配错会导致漏洞扫描根本跑不起来
代理配置不对，govulncheck 和 go mod download 都会卡住或报错，不是工具问题，是依赖根本拉不下来。
必须用 go env -w GOPROXY=https://goproxy.cn,https://mirrors.tuna.tsinghua.edu.cn/goproxy/,direct，注意：
- 逗号分隔，**不能有空格**；
direct必须小写、必须在末尾 - 私有模块域名（如
git.internal.company.com）必须加进GOPRIVATE，否则代理可能泄露凭证 - 验证是否生效：直接运行
go env GOPROXY，输出应是你设的完整字符串，不是默认值
真正容易被忽略的是：漏洞阻断不是单点动作，而是 govulncheck + go list -m all + go mod verify + 正确 GOPROXY 四者咬合的结果。少一个环节，就可能让带毒依赖悄悄混进构建产物。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
