go mod edit -replace 是临时屏蔽高危模块的直接手段，通过重定向漏洞模块到安全分支或空实现，并需配合 go mod tidy 更新 go.sum；须用 go mod graph 定位间接引入源，优先升级上游依赖；replace 与 // indirect 结合可强制断开传递依赖；ci 中必须运行 go mod verify 并提交 go.sum 人工核对。
用 go mod edit -replace 临时屏蔽高危模块
当某个模块被确认含漏洞（比如 golang.org/x/crypto 的某个旧版本），又暂时无法升级时，go mod edit -replace 是最直接的屏蔽手段。它不删除依赖，而是把有问题的模块重定向到一个空实现或安全分支。
- 命令格式：
go mod edit -replace github.com/bad/pkg@v1.2.0=github.com/your-org/safe-stub@v0.0.0 - 目标模块必须存在且可构建（哪怕只是空
go.mod+doc.go），否则go build会报no matching versions - 替换后务必运行
go mod tidy，否则go.sum不更新，CI 可能因校验失败中断 - 注意：该操作仅影响当前 module；子 module 若独立声明了该包，需分别处理
go mod graph 定位谁在偷偷拉入漏洞包
很多漏洞包不是你直接 require 的，而是被某个日志、HTTP 客户端或测试工具间接引入。只看 go.mod 会漏掉真实调用链。
- 查具体包来源：
go mod graph | grep "golang.org/x/net@"（把包名换成你要查的） - 输出形如
your-module github.com/some/log@v1.0.0→github.com/some/log@v1.0.0 golang.org/x/net@v0.17.0，说明是日志库带进来的 - 若发现某包被多个路径引入，优先升级“上游”包（如
github.com/some/log），比单独 replace 更可持续 - 别忽略
_test目录——go mod graph默认包含测试依赖，而govulncheck默认不扫它们
用 replace + // indirect 标记强制断开传递依赖
有些包虽未被代码 import，却因 go.sum 存在或旧版 go mod tidy 遗留而卡在 go.mod 中，标记为 // indirect 后再配合 replace 能彻底切断引用。
- 先确认是否真无引用：
go list -f '{{if not .Indirect}}{{.Path}}{{end}}' -m all—— 只输出非间接依赖 - 对确认无用的包，在
go.mod中手动加replace github.com/old/tool => github.com/old/tool v0.0.0并保存 - 再跑一次
go mod tidy -v，观察日志里是否出现removing github.com/old/tool - 如果没删，说明仍有某个
.go文件（包括buildtag 控制的）隐式 import 了它，得用grep -r "github.com/old/tool" --include="*.go"扫一遍
CI 中用 go mod verify 防止屏蔽失效
仅靠本地 replace 或 edit 不够——有人 commit 了没更新的 go.sum，或用了私有 proxy 绕过校验，漏洞包可能悄悄回归。
- CI 第一行必须加：
go mod verify，失败即退出；它会比对本地go.sum和sum.golang.org的哈希，防篡改 - 设环境变量：
GOSUMDB=sum.golang.org，禁用off或 fallback 模式 -
go.sum必须提交 Git，且每次go mod tidy后人工核对新增行——尤其警惕突然出现的github.com/xxx/yyy@v0.0.1，它可能是伪装成开源库的恶意包 - 屏蔽不是终点：被 replace 的模块仍存在于
go list -m all输出里，只是路径变了；真正要盯的是go mod graph是否还有指向原始包的边
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
