govulncheck 必须执行 govulncheck .（末尾一个英文点号）才能递归扫描当前目录下所有包，包括 internal/、测试文件和子模块中的调用链，否则会漏掉大量间接依赖路径导致关键漏洞不报；需配合 -test、-deps、-json 参数及 go mod verify、go list -m all 等工具协同验证。
govulncheck 扫描必须加点号：govulncheck .
只运行 govulncheck 或 govulncheck ./... 会漏掉大量间接依赖路径，导致关键漏洞不报。正确命令是 govulncheck .（末尾一个英文点号），它会递归扫描当前目录下所有包，包括 internal/、测试文件和子模块中的调用链。
常见错误现象：
- 扫描结果为空，但
trivy或 SCA 工具却报告一堆 GO-XXXX 漏洞 - 升级了
github.com/gin-gonic/gin，但漏洞仍存在——实际是被某个未显式声明的 transitive 依赖（如golang.org/x/net）带入的
实操建议：
- 在项目根目录（含
go.mod的目录）执行govulncheck . - 若输出类似
GO-2024-1987或CVE-2025-1234，说明该漏洞已进入官方数据库，可直接按编号查修复方案 - 配合
govulncheck -json . | jq '.Vulnerabilities[] | select(.ID == "GO-2024-1987")'精确定位受影响模块
GoLand 里别信“自动升级提示”，先看 go list -m -u all
GoLand 有时会在编辑器底部弹出 “github.com/some/pkg has newer version” 提示，但点击升级后漏洞仍在——因为该提示只检查直接依赖，不反映间接依赖是否被真正替换。
真正可靠的版本检查命令是：
-
go list -m -mod=mod -u all：列出所有模块及其可升级的最新 release 版本（含间接依赖） -
go list -m all | grep 'some/pkg'：确认当前实际加载的版本（注意不是go.mod里写的，而是 resolve 后的真实版本）
升级时优先用 go get 而非手动改 go.mod：
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 对直接依赖：
go get github.com/gin-gonic/gin@v1.9.1 - 对间接依赖（如
golang.org/x/crypto）：go get golang.org/x/crypto@latest，然后go mod tidy让其被其他模块正确引用 - 避免
replace本地路径——它绕过校验，govulncheck无法检测其安全性
代理与校验配置失效时，govulncheck 结果不可信
govulncheck 依赖 sum.golang.org 提供的哈希签名验证模块完整性。如果 GOPROXY 或 GOSUMDB 配置异常，工具可能基于篡改过的代码做分析，结果完全失真。
必须检查的三项配置：
-
go env GOPROXY：值应为https://proxy.golang.org,direct或受控私有 proxy；禁用http://或GOINSECURE="*" -
go env GOSUMDB：默认是sum.golang.org，不得设为off - 手动验证一个模块：
go mod download -json github.com/gorilla/mux@v1.8.7，比对输出中Sum字段是否与https://sum.golang.org/lookup/github.com/gorilla/mux@v1.8.7一致
若发现不一致，说明依赖已被中间人污染，此时即使 govulncheck 显示“clean”，也不能信任。
GoLand 的 IDE 内置扫描只是辅助，不能替代命令行验证
GoLand 的 “Security” inspection（需启用）能标出已知 CVE 的函数调用，比如 crypto/tls.Dial 在旧版 Go 中的证书绕过风险，但它只依赖静态签名库，不感知你当前 go version 或实际加载的依赖树。
容易忽略的关键点：
- IDE 默认不扫描 test 文件，而很多漏洞触发路径藏在
xxx_test.go中 - GoLand 不会主动检测
replace或exclude导致的依赖降级 - 它无法识别
GOOS=js等交叉编译场景下的特定漏洞影响面
所以最终确认必须回到终端：govulncheck . + go version + go env GOPROXY GOSUMDB 三者交叉验证。IDE 只负责帮你快速跳转到问题行，不负责判断修复是否真正生效。
