依赖投毒是一种攻击者通过劫持、冒名或污染开源包向项目注入恶意代码的供应链攻击，其危害始于go mod download瞬间，恶意二进制即进入本地缓存并混入最终可执行文件。
依赖投毒是什么？它不是“版本升错”那么简单
依赖投毒（Dependency Poisoning）指攻击者通过劫持、冒名或污染开源包，向你项目中注入恶意代码。它和普通漏洞不同：不是等你用错函数才出事，而是go mod download那一刻，恶意二进制就进了本地缓存；go build时，它已混进你的可执行文件里。常见手法包括：注册相似包名（如github.com/gorilla/mux → github.com/gorillla/mux）、篡改已废弃包的维护权、在init()函数里静默执行反向 shell 或窃取环境变量。
go.mod 里怎么看出可疑依赖？别只盯 version
光看require github.com/some/pkg v1.2.0没用——攻击者常把恶意包发布在合法路径下，version 还能通过 CI/CD 验证。真正要查的是模块来源是否可信：
- 检查
go.sum中每个校验和是否来自官方 proxy（如proxy.golang.org），而非自建镜像或私有仓库；若出现sum: none或哈希不匹配，立刻停用 - 运行
go list -m -u all，确认所有依赖都指向 GitHub/GitLab 官方仓库，警惕gitlab.example.com或codeberg.org/attacker这类非常规源 - 对非主流包（尤其是带
util、helper、core等泛用词的），手动访问其 module path 对应页面，核对 README 是否存在、作者是否活跃、提交历史是否合理
如何强制锁定依赖来源？用 replace + checksum 双保险
Go 模块机制本身不阻止你从任意 URL 拉包，必须主动干预：
- 在
go.mod中用replace显式指定可信 commit hash：replace github.com/bad/pkg => github.com/good/fork v0.0.0-20250101000000-abcdef123456，避免间接依赖偷偷换源 - 启用
GOSUMDB=off时必须同步开启GOINSECURE白名单，且仅限内网地址；生产环境严禁全局关闭校验 - CI 流程中加一步：
go mod verify失败即中断构建；它会校验go.sum与实际下载内容是否一致，能捕获被中间人篡改的包
govulncheck 能发现投毒吗？不能，但它能帮你快速定位高危入口
govulncheck ./...只扫描已知 CVE，对全新投毒包完全无效。但它有价值的地方在于：找出你项目里哪些依赖被大量其他项目引用（高调用链），这些就是攻击者最可能下手的目标。比如输出里频繁出现golang.org/x/net或github.com/google/uuid，就要重点审查它们的直接引用路径——是否被某个小众包作为间接依赖拉进来？是否出现在go.mod顶层 require 中？
立即学习“go语言免费学习笔记（深入）”；
真正防投毒的关键动作不在工具链末端，而在首次引入依赖时：拒绝任何未经团队评审的第三方包，哪怕它只有一行代码。一个fmt.Println("debug")放在init()里，就能绕过所有静态扫描。
