goland本身不提供依赖安全扫描能力，需手动集成govulncheck等命令行工具，通过external tools配置执行漏洞扫描，结果需人工交叉验证，ci环节才真正强制落地。
GoLand 本身不提供依赖安全扫描能力
GoLand 是 JetBrains 的 Go IDE，它能高亮 import、跳转定义、提示版本冲突，但不内置任何漏洞数据库或扫描逻辑。你看到的“依赖分析”只是基于 go list -m all 的静态结构展示，和 vuln.go.dev 完全无关。指望它自动标红 golang.org/x/crypto 的 CVE 就像指望 Excel 自动查 NVD——根本不在一个数据层。
必须手动集成 govulncheck 或 trivy
要在 GoLand 里“感知”到漏洞，得把命令行工具的结果导入进来。最可行的是用 External Tools + Terminal 面板联动：
- 先确保已安装：运行
go install golang.org/x/vuln/cmd/govulncheck@latest（注意不是go get） - 在 GoLand 的 Settings → Tools → External Tools 里新增一个工具：
– Program:govulncheck
– Arguments:-deps -test -format=json $ProjectFileDir$
– Working directory:$ProjectFileDir$ - 绑定快捷键（比如 Ctrl+Alt+V），执行后结果会输出到 Run 窗口；若想直接跳转到问题行，需配合
-format=html生成报告再用浏览器打开——但 HTML 不支持点击跳转源码，所以推荐只用 JSON 输出 + 手动 grep - 别用
govulncheck ./—— 缺少-deps和-test，漏掉 70% 以上间接依赖路径，比如测试里用的github.com/gorilla/securecookie就不会被扫到
扫描结果无法自动高亮，得靠人工交叉验证
GoLand 不解析 vuln.go.dev 的 GO-XXXX-XXX 编号，也不会把 govulncheck 的 JSON 结果映射到编辑器行号。你只能：
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 执行
govulncheck -deps -test -format=json ./ | jq '.Results[].Vulnerability.ID'快速列出所有漏洞编号 - 对每个
GO-XXXX-XXX，手动打开vuln.go.dev/GO-XXXX-XXX，看它影响的具体模块和版本范围 - 再运行
go list -m all | grep "module-name"确认当前项目实际拉的版本是否在受影响区间内 - 特别注意
// indirect标记的包——govulncheck能扫到它们，但 GoLand 的依赖图里可能只显示为灰色虚线，容易被忽略
CI 才是真正落地的环节，IDE 只是辅助入口
你在 GoLand 里点一次扫描，不代表漏洞就修复了。真正卡住上线的是 CI 流水线里的强制检查：
- CI 脚本必须跑两遍：
govulncheck -deps ./（业务路径） +govulncheck -deps -test ./（测试路径） - 输出必须写入文件（如
vuln-report.json），再用jq '.Results | length == 0'判断是否失败——绝不能只依赖终端输出是否报错 - 如果用了
replace或本地路径依赖，govulncheck会直接跳过这些模块，而 GoLand 的 “Show Dependencies” 功能也只会显示路径，不会警告“此模块未被扫描”
最后提醒一句：看到 no vulnerabilities found 别松口气。可能是调用链没进分析范围，也可能是漏洞还没被收录进 vuln.go.dev，还可能是 go.sum 里压根没存那个间接依赖的哈希——这些，GoLand 都不会告诉你。
