启用 staticcheck 是最该优先做的安全检查，否则GoLand代码分析等于未开启安全扫描；需在.golangci.yml中显式启用，禁用过时linter，跳过测试目录，并开启DFA、关闭不安全补全、检查JSON敏感字段。
启用 staticcheck 是最该优先做的安全检查
不显式启用 staticcheck，GoLand 的代码分析就等于没开安全扫描。它默认不激活，哪怕你装了 golangci-lint 或开了 IDE 内置检查，SA1019（调用已弃用 API）、SA1021（time.After 在循环中滥用）、SA1006（未转义的 HTML 模板插值）这类高危项根本不会报。
实操建议：
- 在
.golangci.yml中必须写明enable: ["staticcheck"]，不能只靠默认列表 - 禁用过时 linter：
disable: ["golint", "scopelint", "maligned"]，避免干扰和误报 - 测试文件加豁免：
run: --skip-dirs="testdata|_test"，否则 mock 场景下sql.Rows关闭检查会频繁误触发
开启数据流分析（DFA）防零值解引用
GoLand 2024.1 起 DFA 默认开启，但它只在「设置 → 编辑器 → 检查」里勾选后才真正生效。这个功能能识别 if err != nil 后仍直接解引用 resp.Body 这类典型空指针风险，比 go vet 更早、更准。
常见错误现象：
- 函数返回
nilerror 但后续未校验指针字段，IDE 却没标红 -
json.Unmarshal失败后仍对目标结构体字段做操作，运行时报 panic
确保以下三项已启用：Constant condition detection、Potential nil pointer dereference、Error is not nil
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
关闭不安全的自动补全与模板注入风险
GoLand 的 AI 补全（整行补全 / 结构补全）虽快，但若训练数据含漏洞模式，可能生成带硬编码密钥、拼接 SQL 或裸调 exec.Command("sh", "-c", ...) 的代码片段。这不是理论风险——2025 年已有团队因补全建议引入命令注入。
实操建议：
- 进
Settings → Editor → General → Code Completion，关掉Machine Learning Assisted Completion - 自定义 Live Template 时，避免使用
guessVariableName("string")自动生成用户输入变量名，它不校验内容合法性 - 所有涉及外部输入的模板（如 HTTP handler、SQL 查询），强制要求模板内含
html.EscapeString或validator调用占位
检查敏感字段是否被 JSON 泄露
GoLand 不会主动扫描 struct tag，但你可以用检查规则强制拦截。比如 CreditCard.Number 带 json:"number" 却没加 json:",omitempty" 或掩码逻辑，IDE 就该标黄警告。
配置方式：
- 在
Settings → Editor → Inspections → Go → Structural inspection中启用JSON tag usage - 手动添加自定义检查：匹配正则
json:"[^"]*"且字段类型含password\|token\|cvv\|secret的组合，提示「敏感字段未屏蔽」 - 搭配
govulncheck ./扫描，确认无encoding/json相关 CVE（如 CVE-2023-45287）
最容易被忽略的是：struct 实现了自定义 MarshalJSON，但 IDE 检查只看 tag，不跑实际方法——得靠单元测试覆盖输出结果才能兜底。
