govulncheck 必须加 -test 才能覆盖间接依赖，否则会漏掉测试中引入但构建时仍下载的高危包；需配合 go list -m all、go mod graph、go mod verify、go vet 和 golangci-lint 等多手段协同检测。
govulncheck 扫描必须加 -test 才能覆盖间接依赖
只跑 govulncheck ./ 会漏掉大量真实风险——它默认只分析主模块显式 import 的包，而像 golang.org/x/net 这类高频被日志、HTTP 客户端等库悄悄拉进来的间接依赖，根本不会出现在报告里。
- 必须补上
-test参数：执行govulncheck -test ./，它会把测试代码链路也纳入 callgraph 分析，暴露那些“只在 test 文件里用、但构建时仍下载”的 transitive 包 - 两个命令缺一不可：
govulncheck ./（业务路径） +govulncheck -test ./（测试路径），任一有输出都得处理 - 注意
GO-XXXX-XXX编号不是 CVE，是 Go 官方漏洞 ID，查详情要去vuln.go.dev，别去 NVD 搜
go list -m all 配合关键词人工盯高危包
govulncheck 不扫 test-only 依赖，而很多加密、SQL、HTTP 相关的高危模块（比如 golang.org/x/crypto、github.com/gorilla/mux）只在测试里用，线上不用，但 CI 构建时照样下载——这类包完全不出现在扫描报告里。
- 执行
go list -m all | grep -E "(golang\.org/x|github\.com/.*\.(sql|http|crypto))"，快速捞出可疑模块 - 对每个结果，再跑
go mod graph | grep 包名看谁引入了它；如果显示// indirect，说明是传递依赖，得顺藤摸瓜定位源头 - 特别盯紧
golang.org/x/net和golang.org/x/text：它们被标准库周边包深度依赖，但govulncheck的分析覆盖不保证完整
go mod verify 必须进 CI 且不能只信 go.sum
go.sum 只校验“和上次构建用的依赖一模一样”，不保证第一次引入的就是干净的。你本地 go mod download 成功，不代表没下到被污染的模块——尤其用了私有 proxy 或 GOPROXY=fallback 时。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- CI 第一行就该跑
go mod verify，失败直接中断；它会比对本地go.sum和sum.golang.org公共日志里的哈希，防中间人攻击 - 设环境变量
GOSUMDB=sum.golang.org强制启用远程校验，旧版 Go 默认可能关掉了，不能依赖默认值 -
go.sum必须提交 Git，每次go mod tidy后要人工确认新增条目来源是否可信——比如突然多了个github.com/xxx/yyy@v0.0.1，得查它是不是你团队维护的内部库
别忽略 go vet 和 golangci-lint 的安全类检查
依赖漏洞只是显性风险，硬编码密钥、不安全的 http.Redirect、未校验的用户输入才是更常见的线上问题。这些 govulncheck 根本不碰。
立即学习“go语言免费学习笔记（深入）”；
- 在 CI 中加
go vet -tags=netgo ./...，它能捕获基础安全模式（如fmt.Printf用用户输入当格式串） - 用
golangci-lint run --enable=gosec（需先go install github.com/securego/gosec/cmd/gosec@latest），查密钥硬编码、不安全 crypto 调用等 - 这两类检查和
govulncheck是互补关系：一个扫代码逻辑，一个扫依赖版本，少一个都算裸奔
govulncheck 的 callgraph 分析依赖实际构建路径，如果你项目里有 // +build ignore 或条件编译块，它可能完全跳过那部分调用链——而漏洞就在那里。 
