goland 不提供 gosec 官方插件，仅支持通过 external tools 集成 cli 工具；需手动配置命令、参数与工作目录，并推荐用 wrapper 脚本将 json 输出转为 goland 可识别的 file:line:col 格式，确保本地与 ci 规则一致。
GoLand 本身不提供 gosec 插件，也不能直接“安装插件”启用 gosec —— 它只支持通过 External Tools 集成命令行工具。 你看到的“GoSec 插件”宣传，基本是混淆了 JetBrains IDE 的 External Tools 机制与真正的 IDE 插件（如 IntelliJ 平台原生开发的插件）。gosec 是纯 CLI 工具，没有官方 GoLand 插件，强行找第三方打包版风险高、更新滞后、易失效。
在 GoLand 里调用 gosec 必须走 External Tools
这是唯一稳定、可控、可复现的方式。核心逻辑是：让 GoLand 把当前文件或目录路径传给 gosec 命令，捕获 stdout 的 JSON 输出并高亮问题。
- 先确保本地已安装
gosec：go install github.com/securego/gosec/v2/cmd/gosec@latest，且$GOPATH/bin在$PATH中 - 打开 GoLand → Settings → Tools → External Tools → 点
+ -
Program填gosec（不是完整路径，除非不在 PATH） -
Arguments推荐填：-fmt json -out /tmp/gosec-report.json -exclude-dir=vendor -exclude-dir=testdata -include=G101,G104,G201,G202,G203,G204,G401,G402 ./...（按需增减规则 ID） -
Working directory填$ProjectFileDir$，确保扫描范围正确 - 勾选
Run console in background，避免阻塞 UI；不勾Show console when a tool is run，否则每次弹窗
gosec 报告无法在编辑器内跳转到源码行？
因为 GoLand 默认不认识 gosec 的 JSON 输出格式。它只原生支持 go vet 或 golint 类输出（含 file:line:col: 前缀）。gosec 的 JSON 结构里有 file、line 字段，但 GoLand 不解析。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 临时解法：用
gosec -fmt text输出，再配正则表达式提取位置 —— 但text格式不稳定，不同版本字段顺序可能变，line字段有时缺失 - 可靠解法：写一个轻量 wrapper 脚本（比如
gosec-to-goland.sh），把 JSON 解析后转成file.go:42:12: G101: hard coded password这种格式，再在 External Tools 里调用该脚本 - 别依赖“自动高亮”，先保证能跑出结果；CI 流水线里也必须用
-fmt json -out，否则没法做策略拦截
为什么 -nosec 注释经常不生效？
不是注释写错，而是 gosec 对注释位置极其敏感，且 GoLand 的 External Tools 调用方式容易触发缓存或路径偏差。
-
// #nosec或// gosec: disable=G101必须紧贴触发行的上一行，中间不能有空行、不能缩进、不能加其他字符（比如// #nosec // reason会失效） - 如果扫描的是
./...，gosec 会递归进入vendor/或internal/，而这些目录下代码可能没加注释，导致误报“蔓延” - 确认是否用了
-exclude-dir=vendor；若项目用go mod vendor，务必检查vendor/modules.txt里有没有含poc、exploit关键词的模块，这类模块自带大量高危模式，会污染扫描结果 - 测试注释是否生效：在终端手动运行相同
gosec命令，对比输出；若终端有效而 GoLand 无效，大概率是 Working directory 设置错误或路径变量未展开
真正难的不是配置按钮，而是让 gosec 的规则集、排除逻辑、注释边界和 CI 流水线里的 exit code 保持一致。本地在 GoLand 看到一个 G104（未检查 error），CI 却没报，往往是因为 CI 用了 -exclude=G104 或漏了 -nosec=true 参数 —— 工具链两端不统一，安全就只是幻觉。
