goland本身不支持自定义安全审计规则，无法实现语义级不安全函数过滤；必须通过集成gosec等外部工具，配置yaml规则并设为external tool，由其执行ast遍历与污点分析，goland仅负责结果展示与跳转。
GoLand 本身不支持自定义代码安全审计规则来过滤不安全函数——它没有内置的规则引擎或 Hook 接口让你添加类似 “禁止调用 os/exec.Command 且参数含用户输入” 这类语义级检查。 它依赖外部工具（如 gosec、golangci-lint）做静态分析，自身只负责展示结果。想实现“过滤不安全函数”，必须绕过 GoLand 的 UI 配置，走命令行工具链集成。
为什么 GoLand 的 Inspection 设置不能替代安全审计
GoLand 的 Inspection（如 “Function call may be unsafe”）只识别极少数硬编码模式（比如 fmt.Printf 带非字面量格式串），不理解上下文、不跟踪数据流、不支持自定义策略。它不会标记 os.Open("/tmp/" + userInput)，也不会识别 exec.Command("sh", "-c", cmd) 中的命令注入风险。这类检查需要 AST 遍历+污点分析，GoLand 不提供扩展点。
- 所有 Inspection 规则都固化在 IDE 二进制中，无法通过配置文件新增
- 启用 “Go security audit” 插件（如有）也只是包装
gosec，不是原生能力 - 即使你改了
Settings > Editor > Inspections，也仅影响语法高亮和警告图标，不改变实际检测逻辑
正确做法：用 gosec 配置自定义规则并接入 GoLand
gosec 是 Go 生态最成熟的静态安全扫描器，支持 YAML 规则文件禁用/启用特定检查，并能通过 -config 指定自定义规则。GoLand 可以把它作为外部工具调用，把结果解析为可跳转的警告。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 安装：
go install github.com/securego/gosec/v2/cmd/gosec@latest - 生成默认规则模板：
gosec -fmt=json -out=gosec-report.json ./...（先跑一次） - 创建
.gosec.yaml，例如屏蔽crypto/md5和强制检查http.ServeFile：
rules:
G104: {severity: ERROR, confidence: HIGH} # 忽略错误未检查
G401: {severity: CRITICAL, confidence: HIGH} # 强制禁用 md5
G108: {severity: WARNING, confidence: MEDIUM} # http.ServeFile 警告
excluded_files:
- "vendor/"
- "third_party/"
- 在 GoLand 中配置 External Tool：
Settings > Tools > External Tools > + > Program: gosec，Arguments:-config .gosec.yaml -fmt=csv -out gosec.csv ./... - 运行后，GoLand 会把 CSV 解析成问题列表，双击可跳转到源码行
常见误操作与坑
很多人试图在 GoLand 里“直接写正则匹配函数名”，但这是无效的。IDE 的正则 Inspection 不处理 AST，会漏掉嵌套调用、别名导入、接口方法等场景。
- 别用
Settings > Editor > Inspections > General > RegExp写os\.Open.*\+——它只匹配字符串字面量，不识别变量拼接 - 别把
gosec配置写进go.mod或build tags——它不参与构建，只用于扫描 -
gosec默认不检查测试文件（_test.go），如需审计测试代码，加-exclude="*_test.go" - 规则中
G104禁用后，defer resp.Body.Close()这类合法忽略也会被放过，需配合 code review
真正可控的安全边界不在 IDE 配置里，而在 gosec 的规则文件和 CI 流水线中。GoLand 只是前端展示层，别指望它替你做决策——尤其当 exec.Command 被包在封装函数里、或 template.Execute 的数据来自数据库时，只有基于 AST 的分析器才能捕捉。
