govulncheck 不是 goland 内置功能，需手动配置 go command 运行；goland 仅集成终端调用，不主动分析依赖漏洞，也不解析实际依赖图或连接 vuln.go.dev，真实扫描依赖 go 官方工具。
govulncheck 不是 GoLand 内置功能，也不能通过 IDE 点击菜单直接“一键扫描整个依赖包”。GoLand 本身不执行依赖漏洞分析，它只提供对 govulncheck 命令的终端集成或运行配置支持。真正在本地做安全扫描的，是你手动或 CI 中调用的 Go 官方工具。
为什么不能在 GoLand 里点几下就扫完所有依赖？
GoLand 的“Analyze → Run Inspection by Name”或“Code → Inspect Code”只查语法、未使用变量、潜在 nil panic 等静态问题，不连 vuln.go.dev，也不解析 go list -m all 构建出的实际依赖图。它不知道 golang.org/x/net 是被 github.com/gorilla/mux 间接拉进来的，更不会去查 GO-2024-2987 是否影响你当前版本。
在 GoLand 中真正能用的安全扫描方式
你得把命令“塞进去”，再靠 GoLand 帮你快捷触发：
- 打开 Run → Edit Configurations…，点击
+→Go Command -
Command填：govulncheck -
Arguments填：-test -format=json ./（必须加-test，否则漏掉测试路径里的高危包） -
Working directory设为项目根目录（含go.mod） - 勾选
Run in terminal，避免输出截断
保存后，就能用快捷键或工具栏按钮运行——但注意：这本质还是在终端跑命令，不是 IDE 自带能力。
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
扫出来一堆 GO-XXXX-XXX，怎么快速确认是否真实影响？
govulncheck 输出的编号不是 CVE，不能搜 NVD。你必须：
- 复制编号（如
GO-2024-2987） - 粘贴到浏览器打开：
https://vuln.go.dev/GO-2024-2987 - 重点看
Details → Affected modules列表，确认你项目里实际用的版本是否在其中（比如它写golang.org/x/net@v0.24.0，而你go list -m golang.org/x/net返回的是v0.25.0，那就不受影响） - 别信“affected”字段单独出现——它只表示该模块曾被报告有漏洞，不等于你当前构建中调用了触发路径
GoLand 里最容易忽略的三个风险盲区
即使你配好了 govulncheck 运行配置，以下三点仍不会被自动覆盖：
-
go.sum文件没提交 Git：GoLand 不提醒你这个文件缺失或未 commit，但它一旦丢掉，go mod verify就失效，CI 无法校验模块完整性 -
go list -m all | grep crypto类人工筛查：GoLand 不会帮你过滤高频风险包，也不会标出哪些是// indirect引入却长期未更新的弃坑库 - 测试专用依赖（如
golang.org/x/crypto只在xxx_test.go里用）：除非你显式加了-test，否则 GoLand 调起的命令根本不会加载这些路径
这些事，得你盯着终端输出、翻 go.mod、查 go mod graph 手动补全——IDE 不会替你思考依赖关系。
