goland 保存时不能也不该自动运行安全扫描，因govulncheck、gosec耗时长、副作用强、作用域模糊，易导致ide卡顿或结果错乱；应通过external tools右键触发或ci/cd阶段执行。

GoLand 保存时不能、也不该自动运行代码安全漏洞扫描——这不是功能缺失，而是设计克制。安全扫描（如 govulncheck、gosec）耗时长、副作用强、作用域模糊，强行绑定保存动作会破坏编辑节奏、掩盖真实问题，甚至导致 IDE 响应卡顿或结果错乱。

为什么 File Watchers 不适合跑 govulncheck 或 gosec

File Watcher 是为轻量、确定性任务设计的（比如 goimports），而安全扫描完全不符合这些前提：

• govulncheck 首次运行要下载数 MB 的 CVE 数据库，内网无外连时直接失败；后续每次执行仍需解析 go.mod、遍历依赖树，耗时从几百毫秒到数秒不等
• gosec 实际是启动一个完整 Go 编译流程（go list + go build -toolexec），CPU 占用高，且可能因类型检查失败而中断，输出无法被 File Watcher 可靠捕获
• 你保存的是 handler.go，但漏洞可能藏在 pkg/auth 或间接依赖里——扫描范围必须是模块根目录，不是单文件，File Watcher 的 $FilePath$ 变量无法自动升维
• 扫描失败时大量 stderr 被静默丢弃，你只看到“Watcher executed”，却不知道是超时、权限拒绝还是数据库拉取失败

真正能落地的安全扫描触发方式

把扫描当作「有明确意图的诊断动作」，而不是「保存附带的背景噪音」：

GoLand 2026.1.1

GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。

下载

• 右键项目根目录 → External Tools → govulncheck：确保 Working directory 是含 go.mod 的路径，Arguments 带 -json .，结果可复制进 VS Code 或 jq 查看
• 终端里手动跑：gosec -fmt=json -out=gosec-report.json ./...，配合 jq '.Issues[] | select(.Severity == "HIGH")' 快速过滤高危项
• CI/CD 流水线中固定阶段执行：govulncheck -v ./... + gosec ./...，失败时阻断合并，这才是安全左移的正确位置
• 如果真想“近实时”感知，用 air 或 reflex 监听 go.mod 变更后自动触发扫描，比监听每个 .go 文件合理得多

容易被忽略的配置细节

即使你绕过 File Watcher、改用终端或 External Tools，以下三点不确认，扫描大概率静默失效：

• govulncheck 必须在 go.mod 所在目录执行，$ProjectFileDir$ 在 GoLand 中有时指向子模块而非根，需手动验证
• gosec 默认跳过测试文件，如需扫 *_test.go，得加 -exclude="^vendor|^third_party" -no-fail-on-issue 等显式参数
• 企业内网环境必须提前设置 GOVULNCHECK_DB_DIR 并用 govulncheck download 离线导入数据库，否则首次调用永远卡在 fetching vulnerability database

安全扫描不是越频繁越好，而是越精准、越可控、越可追溯越好。把扫描留给明确意图的时刻，把保存留给代码逻辑本身——这个边界划清楚了，问题才真正开始解决。