直接安装 Go 1.21+ 官方 pkg 包，禁用 GOPROXY 和 GOSUMDB 以保障审计真实性，手动配置 GOPATH 和 PATH，并安装 staticcheck、gosec、goimports 等审计必需工具链。
直接装 Go 1.21+，别用 Homebrew 或第三方包管理器装，否则 GOPATH 和 go env 易错乱，审计工具（如 staticcheck、gosec）会找不到依赖或误报。
确认 macOS 版本并下载官方 pkg 安装包
Go 官方只对 macOS 10.15（Catalina）及以上提供支持，低于该版本无法运行新版本 Go 工具链。执行 sw_vers 确认系统版本；若为 Apple Silicon（M1/M2/M3），必须下载 darwin-arm64 包，而非 darwin-amd64 —— 否则 go build 会静默失败，且 go vet 可能跳过部分检查。
推荐命令（自动适配芯片架构）：
curl -O "https://go.dev/dl/$(curl -s https://go.dev/VERSION?m=text | head -n1)-darwin-$(uname -m | sed 's/x86_64/amd64/; s/arm64/arm64/').pkg"
然后用 sudo installer -pkg *.pkg -target / 安装。
立即学习“go语言免费学习笔记（深入）”；
手动配置 GOPATH 和 PATH，禁用模块代理（审计时需看真实依赖）
审计代码时，你得看到项目真实的 go.mod 依赖树，而不是被 GOPROXY 缓存替换后的“干净”版本。默认开启代理会掩盖 vendor 目录缺失、私有库引用错误等问题。
- 编辑
~/.zshrc，添加：
export GOPATH=$HOME/go export PATH=$PATH:/usr/local/go/bin:$GOPATH/bin export GOPROXY=direct export GOSUMDB=off
执行 source ~/.zshrc 生效。验证：go env GOPROXY 应输出 direct，go env GOSUMDB 应为 off。
注意：关闭 GOSUMDB 是为了审计时能暴露不带 checksum 的恶意篡改依赖（比如被注入的第三方库），但仅限本地审计环境，切勿在 CI 中关闭。
安装并验证审计必需的 CLI 工具链
只装 go 本身不够。代码审计依赖三个底层能力：静态分析、AST 解析、跨包调用追踪。缺一不可。
逐个执行：
go install honnef.co/go/tools/cmd/staticcheck@latest go install github.com/securego/gosec/cmd/gosec@latest go install golang.org/x/tools/cmd/goimports@latest
验证是否可用：
-
staticcheck -version—— 检查是否识别 Go 1.21+ 新语法（如泛型约束推导） -
gosec -h | head -n5—— 确保能列出-exclude、-confidence等审计关键参数 -
goimports -v ./...—— 测试能否处理含//go:embed的文件（很多审计漏点藏在这里）
常见坑：gosec 默认不扫描测试文件（_test.go），但业务逻辑漏洞常藏在测试 mock 里，审计时务必加 -no-fail-on-finding 并手动检查 **/*_test.go。
用 go list -deps 快速定位可疑第三方包
审计不是从 main 入口一行行读，而是先揪出高危依赖。Go 的模块机制让 go list 成为最快突破口。
例如，发现项目用了 github.com/gorilla/sessions，立刻执行：
go list -deps ./... | grep -i "gorilla\|gin\|echo\|jwt"
再针对每个包查其版本和已知 CVE：
- 查
go.mod中该包版本（如v1.2.3） - 访问
https://pkg.go.dev/github.com/gorilla/sessions@v1.2.3看是否有 “Security Notes” 标签 - 或用
go list -m -json all | jq -r '.[] | select(.Replace != null)'找出被替换/重定向的包（常见于供应链投毒）
真正容易被忽略的是：有些项目用 replace 把官方包指向内部 fork，但 fork 没同步上游安全修复 —— 这种只能靠 git diff 对比 commit hash，go list 不会告诉你它“看起来像官方包，实际是黑盒”。
