goland不支持gosec插件，需作为cli工具接入：安装gosec后，通过run configuration配置-gofmt=csv输出并启用output parser，使结果显示在problems窗口并支持跳转。
GoLand 里装不了 gosec 插件？别硬装，它压根不是插件
GoLand 官方不提供 gosec 的 IDE 插件，网上搜到的所谓“gosec 插件”基本是误导或过时信息。真正可行的方式是把 gosec 当作外部 CLI 工具接入，再通过 GoLand 的 External Tools 或 File Watchers 触发扫描。
常见错误现象：
• 在 Settings → Plugins 里搜 gosec 无结果
• 下载第三方 jar 包手动安装，重启后报 Plugin 'xxx' is incompatible with this version of GoLand
• 误以为必须用插件才能在编辑器里标出漏洞行 —— 其实靠 Run Configuration + Console output parsing 就能高亮
- 先用
go install github.com/securego/gosec/v2/cmd/gosec@latest安装 CLI（确保$GOPATH/bin在系统PATH中） - 验证是否可用：终端执行
gosec -h能输出帮助即成功 - GoLand 不需要重启，只要 CLI 可被识别，后续配置就能生效
怎么让 gosec 扫描结果直接显示在 GoLand 的 Problems 工具窗口
靠默认的 Run 配置只能看到控制台输出，要进 Problems 窗口并支持跳转，得启用 GoLand 的“output parser”机制，匹配 gosec 的标准错误格式。
关键点在于：GoLand 只解析符合特定正则结构的输出行，而 gosec 默认输出是 JSON 或普通文本，都不匹配。必须强制它输出带文件路径、行号、消息的可解析格式。
- 新建 Run Configuration →
Templates → Go Tool→ 选gosec - Program arguments 填：
-fmt=csv -out=/dev/stdout ./...（Linux/macOS）或-fmt=csv -out=NUL ./...（Windows） - 勾选
Use output parser→ 选择GoSec（GoLand 2023.3+ 自带；旧版本需手动添加正则） - 运行后，所有
LOW/MEDIUM/HIGH级别问题会出现在 Problems 窗口，点击可跳转到源码行
gosec 扫不出 sql.RawBytes 未检查长度的问题？这是预期行为
gosec 的规则集基于静态 AST 分析，对某些 runtime 行为（比如 database/sql 中 sql.RawBytes 的长度校验缺失）不覆盖。这不是配置错误，而是规则本身没实现该检测项。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
典型场景：
• 你写了 var b sql.RawBytes; row.Scan(&b); use(b[:])，但没判 len(b) > 0
• gosec -include=G101,G102,G103 仍不报错 —— 因为 G103（SQL 注入）只检查拼接字符串，不检查 RawBytes 使用逻辑
- 这类问题需结合
staticcheck（规则SA1019）或自定义go vet检查器补充 - 若坚持用
gosec，可写自定义规则（gosec -config加 YAML），但维护成本高，不推荐日常使用 - 更实际的做法：在 CI 阶段叠加
gosec+staticcheck+govulncheck三层扫描
为什么 gosec 在 GoLand 里扫得比命令行慢一倍？
根本原因是 GoLand 默认为每个 Run Configuration 启动全新 gosec 进程，并重复加载整个 module 的依赖图。而命令行中你可能已用 gosec -no-fail-on-issue 或缓存了 vendor，感知不到延迟。
性能影响明显的情况：
• module 有 50+ 个子包
• 启用了 -exclude-generated 但项目含大量 protobuf 生成代码
• GOPROXY 配置不稳定，导致每次都要 resolve 依赖
- 提速关键：在 Run Configuration 的
Working directory设为具体子模块路径（如$ProjectFileDir$/internal/auth），而非整个根目录 - 加参数
-skip-files=".*_test\.go$"跳过测试文件（gosec默认不跳） - 禁用 GoLand 的
Build project before run（除非真需要编译后扫描）
最易被忽略的一点：GoLand 的 Problems 窗口不会自动刷新 gosec 结果 —— 修改代码后必须手动重跑对应 Run Configuration，它才重新解析输出。没有“保存即扫描”的后台模式，这点和 ESLint + WebStorm 不同。
