可交付合规扫描报告需用Go统一控制流程，gosec转JSON输出并分离stdout/stderr，注释须紧贴触发行，syft+grype需去重并补全Go漏洞，报告含decision字段与exit code严格对应，时间戳用RFC3339。
直接生成可交付、可拦截、带策略阈值的合规扫描报告，不是靠拼凑工具输出，而是用 Go 控制整个流程的输入、过滤、分级和出口逻辑。
gosec 扫描结果必须转 JSON 并显式捕获 stdout
CI 中 gosec 返回非零退出码却看不到具体问题，是因为它默认只输出 summary 到 stderr，不打印详情到 stdout。不显式重定向，CI 日志里只剩一个模糊的 “exit status 1”。
- 执行命令时加
-out results.json -fmt json，确保结构化输出落地 - 别依赖
cmd.CombinedOutput()；用cmd.Output()拿 stdout（JSON），再单独读 stderr 做日志归档 -
// gosec: ignore注释必须紧贴触发行正上方，中间不能有空行，否则无效 - 禁用某条规则用
// gosec: disable=G104，//nolint:gosec完全不被识别
syft + grype 组合输出需合并去重并补全修复建议
syft 提取包清单、grype 匹配 CVE，但二者原始输出存在三类断裂：同一 CVE 在不同包上重复出现；Go module 漏洞（如 govulncheck 发现的）未纳入；修复版本字段在 grype 输出中可能为空或不一致。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 调用
grype.Run()时传入syft.Catalog，避免重复解析镜像 - 对
grype.Matches按CVE.ID + pkg.Name + pkg.Version做唯一键去重 - 额外执行
govulncheck -json ./，将结果中的Vulnerability.ID和Module.Path映射回 syft 的PURL，补全 Go 特有上下文 - 若
grype.Match.RecommendedVersion为空，尝试从 NVD 或 GitHub Security Advisory API 查该 CVE 的 fix version
报告结构必须含 exit code 决策字段与机器可读阈值
合规报告不是给人看的 PDF，是给 CI/CD 流水线做 gate 判断的输入。没有明确的 should_block 字段或对应 exit code，就等于没接入策略。
立即学习“go语言免费学习笔记（深入）”；
- 定义硬性阈值：例如
"critical_count": 1→ exit 1；"high_count": 5→ exit 0 但标记 warn - JSON 报告顶层必须含
decision字段，值为"block"/"warn"/"pass"，且与实际 exit code 严格一致 - 避免嵌套过深：把
vulnerabilities数组扁平化，每项含cve_id、package、current_version、fixed_version、severity、description - 时间戳用 RFC3339（
time.Now().Format(time.RFC3339)），别用 Unix 时间戳，方便日志对齐
真正难的不是调通 syft 或解析 JSON，而是让每个漏洞条目都可追溯到具体镜像层、具体 Go module、具体代码行——这需要在扫描链路里埋点传递 source location，而不是等报告生成后再人工对齐。
