go模块依赖不提供运行期权限控制，安全执行依赖手动配置exec.command的sysprocattr（如credential降权、dir锁定、env隔离）和禁用cgo，而非go.mod本身。
Go模块依赖本身不带运行期权限控制能力，go mod只管下载、校验、版本锁定；真正影响执行安全的是你如何调用exec.Command、是否设SysProcAttr、是否禁用cgo——这些和go.mod文件完全无关。
go mod 生成的依赖目录没有特殊权限限制
go mod download拉下来的包默认放在$GOPATH/pkg/mod（Go 1.13+）或$GOCACHE缓存路径下，目录权限就是普通用户可读写，没有任何沙箱语义。它只是个缓存仓库，不是执行环境。
- 即使你把
go.sum校验通过了，也不能防止某个依赖包在init()里执行os.RemoveAll("/")——只要它被import且触发初始化，就照跑不误 -
go mod vendor生成的vendor/目录也一样，只是把依赖复制进项目，权限仍是常规文件系统权限，不提供隔离 - 想阻止恶意包执行？靠
go mod做不到，得靠编译时剔除（如CGO_ENABLED=0）、运行时进程隔离（SysProcAttr.Credential）、或静态分析工具提前拦截
运行期沙箱必须手动配置 exec.Command 的 SysProcAttr
依赖包最终怎么跑，取决于你用exec.Command启动它的姿势。没配SysProcAttr，就等于裸奔。
-
cmd.SysProcAttr.Credential是跨平台最稳妥的降权方式：传入&syscall.Credential{Uid: 65534, Gid: 65534}（nobody用户），避免root权限滥用 -
cmd.Dir必须设为干净临时目录：tempDir, _ := os.MkdirTemp("", "sandbox-*")，且后续禁止../路径穿越——否则os.Chdir("..")可能逃出沙箱 -
cmd.Env必须显式覆盖：cmd.Env = []string{"PATH=/bin:/usr/bin"}，不能用os.Environ()，否则泄露GOPATH、HOME、SSH_AUTH_SOCK等敏感变量 - Linux下想做文件系统隔离，
cmd.SysProcAttr.Chroot需配合unshare(CLONE_NEWNS)才有效；macOS基本不可用，别硬上
静态链接 + cgo 禁用才是二进制层安全底线
依赖包编译进二进制后，如果动态链接libc，攻击者可能通过LD_PRELOAD劫持系统调用——这比依赖本身更隐蔽。
-
CGO_ENABLED=0 go build是唯一可靠方式；仅设GOOS=linux GOARCH=amd64不够，仍可能隐式依赖cgo（比如net.LookupHost、user.Current()） - 验证是否真静态：
ldd ./binary输出not a dynamic executable才算过关；若报libpthread.so.0 => not found，说明还有残留cgo调用 - 一旦用了
import "C"，就彻底放弃静态链接幻想，必须接受宿主机libc版本绑定和潜在符号劫持风险
真正难搞的不是怎么写go.mod，而是你怎么让exec.Command跑起来的那一刻，既不让它读宿主机/etc/shadow，也不让它把/tmp填满——这些全靠SysProcAttr细节和构建时的CGO_ENABLED开关，而不是模块管理本身。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
