必须绕过parser.ParseFile的panic陷阱：fset需用token.NewFileSet()创建，src须为非空字节切片，mode至少含parser.ParseComments，并严格检查err；否则file为nil，ast.Inspect必panic。
直接用 ast.Inspect 遍历节点前，必须绕过 parser.ParseFile 的 panic 陷阱
很多人一写 AST 扫描就 panic，根本原因是 parser.ParseFile 返回的 file 是 nil，但后续还调用 ast.Inspect(file, ...) —— 这不是 bug，是没按契约初始化。
关键三件事缺一不可：
-
fset必须是新创建的token.NewFileSet()，复用旧的会导致所有.Pos()错乱 -
src必须是字节切片（如os.ReadFile("main.go")的返回值），不能传路径字符串或空 slice -
mode至少带parser.ParseComments，否则注释、文档、//go:xxx指令全丢，安全规则会漏判
示例里常省略 err 检查，但实际中只要源码含 BOM、CRLF 混用、或语法错误（比如少个括号），err 就非 nil，file 为 nil —— 此时继续 ast.Inspect 必 panic。
用 go/packages 加载类型信息，否则无法判断 crypto/rand 是否被误用
go/ast 只管“代码长什么样”，不告诉你 r.Read(...) 调用的 r 到底是不是 *crypto/rand.Reader。而很多安全规则（比如禁止用 math/rand 做密钥生成）依赖真实类型，不是变量名。
立即学习“go语言免费学习笔记（深入）”；
必须用 go/packages 加载完整包上下文：
- 调用
packages.Load时传packages.Config{Mode: packages.NeedTypes | packages.NeedSyntax} - 从
pkg.TypesInfo.Types[node].Type获取类型对象，再用types.TypeString或types.IsIdentical对比目标类型 - 别试图靠
*ast.Ident.Name == "rand"判断——它可能是import r "math/rand"，也可能是import "crypto/rand"
漏掉这步，你写的“检测硬编码密钥”规则可能把 rand.Int() 当成安全调用放过，实际却是 math/rand —— 这类误判在真实项目里高频出现。
修复动作必须走 token.FileSet.Position + string 替换，不能改 AST 节点
AST 是只读结构，修改 *ast.BasicLit.Value 或重写 *ast.Ident.Name 不会影响源文件内容，也不会触发 go fmt 格式化兼容性。真要修复，得回到原始字节流操作。
正确路径是：
- 用
fset.Position(node.Pos())和fset.Position(node.End())算出字节偏移区间 - 把源码字节切片按区间切开，拼上替换文本（注意保持缩进和换行符 LF/CRLF 一致）
- 写回文件前，先
gofmt校验语法，避免替换引入新错误
常见坑：直接用 strings.ReplaceAll(src, old, new) 会炸——同一字符串在不同位置语义不同（比如 "key" 在 struct tag 里和在变量名里不能一并替换）；还有人用正则全局替换，结果把注释里的密钥样例也改了。
govulncheck + go list -m -u 是扫描起点，AST 是深挖手段
AST 扫描不是万能补丁。它擅长发现“代码怎么写”，但没法回答“用的是不是最新安全版”。比如 github.com/gorilla/sessions v1.2.1 有 CVE，但你的 AST 里看到的只是 store, _ := sessions.NewCookieStore(key) —— 它本身没错，错在版本。
所以真实流程必须分层：
- 先跑
govulncheck ./和go list -m -u all，筛出已知漏洞模块和长期未更新的间接依赖 - 对高风险模块（如
encoding/xml、net/http相关）针对性写 AST 规则，比如检查是否用了xml.Unmarshal且没设Decoder.SetEntityReader - 对硬编码类问题（密钥、密码、token）用 AST 扫描+上下文校验（比如是否在
init()函数里、是否被os.Getenv覆盖）
最容易被忽略的是：AST 规则再准，也救不了一个被 replace 指向恶意 fork 的依赖 —— 那得靠 go.sum 校验和人工核查作者主页活跃度。工具链要连着用，单点发力意义有限。
