govulncheck 是 Go 官方推荐的依赖漏洞扫描工具，基于 vuln.go.dev 数据库匹配实际构建依赖，仅报告既存在于依赖图中又被官方确认影响当前版本的漏洞。
govulncheck 是什么，它能查到什么漏洞
govulncheck 不是传统意义上的 SCA 工具，它不扫描源码或 go.mod 文件本身，而是基于 Go 官方维护的 Go Vulnerability Database，结合你本地构建时实际解析出的模块版本（即 go list -m all 结果），做精准匹配。它查不到未被 Go 官方收录的漏洞，也查不到你没真正依赖（比如仅出现在 replace 或注释里）的模块。
关键点：它只报告那些既存在于你的依赖图中、又被 Go 官方确认影响该版本的漏洞。不是所有 CVE 都会被收录，也不是所有 go list 出来的模块都会被检查——只有被 Go 模块系统认为“活跃参与构建”的才会进入分析范围。
运行 govulncheck 的最小必要条件
必须满足三个硬性前提，缺一不可：
- Go 版本 ≥ 1.18（
govulncheck自 Go 1.18 起内置，无需额外安装） - 项目根目录下存在有效的
go.mod（不能是空文件或语法错误） - 当前环境能访问
vuln.go.dev（国内网络可能需配置代理，否则会卡在 “fetching vulnerability data…”）
常见失败现象：govulncheck: failed to fetch vulnerability data: Get "https://vuln.go.dev/...": context deadline exceeded。这不是工具问题，是网络不通。可临时加 -mode=mod 跳过远程查询（但结果为空），或设置 export GOPROXY=https://proxy.golang.org,direct 并确保能连通。
立即学习“go语言免费学习笔记（深入）”；
常用命令与参数差异说明
govulncheck 默认行为是分析整个 module，但不同参数影响极大：
-
govulncheck ./...：分析当前目录下所有包（含子目录），但只检查它们的直接和间接依赖是否含已知漏洞 —— 这是最常用、最贴近真实风险的模式 -
govulncheck .：只分析当前目录的主包（如main），忽略其他子包，容易漏报 -
govulncheck -mode=mod：跳过源码分析，仅基于go list -m all结果查漏洞，适合 CI 中快速验证依赖树 -
govulncheck -json：输出 JSON 格式，方便脚本解析；但注意字段名是小写（如vulnerabilities），不是驼峰
性能提示：首次运行会下载漏洞数据库缓存（约 20MB），后续快很多。缓存位置在 $GOCACHE/vuln/，可手动清理。
如何判断一个报告是否真要处理
govulncheck 输出里常出现“affected”但实际不触发的案例。核心看两点：
- 漏洞描述中是否明确提到你用到的函数或类型？比如报告说
http.Server.ServeTLS有 panic 风险，而你代码根本没调用ServeTLS，那大概率可忽略 - 你依赖的模块版本是否真的在官方标注的受影响范围内？注意看报告里的
versions字段，有时你用的是v1.2.3+incompatible，而漏洞只影响v1.2.0–v1.2.2 - 是否存在
replace或exclude？govulncheck 会尊重go.mod里的这些指令，但如果你用go get强制升级后忘了go mod tidy，报告可能滞后
最易被忽略的一点：govulncheck 不检查 test 依赖（即 _test.go 里 import 的包），除非你显式运行 govulncheck ./... -test。CI 流程里若只跑 ./...，可能漏掉测试框架引入的高危包。
