govulncheck默认只扫描直接依赖，漏掉间接依赖和测试代码中的高危包，需配合go mod verify、govulncheck -test、go list -m all人工筛查及go.sum严格管理才能全面防控供应链攻击。
Go 项目依赖安全不能只靠 govulncheck 扫一遍就完事——它默认不扫测试依赖、不查间接引入的高危包、也不验证模块是否被篡改。真要防住供应链攻击，得把 go mod verify、go list -m all、govulncheck -test 和人工盯包四件事串起来做。
为什么 govulncheck 默认扫描会漏掉真实风险
它只分析你 go.mod 里显式 require 的直接依赖，而生产环境里真正出问题的常是间接依赖（transitive deps），比如：
-
github.com/gorilla/mux被某个中间件悄悄拉进来，但没出现在go.mod的require区域 -
golang.org/x/crypto只在xxx_test.go里用，govulncheck ./完全不看测试代码链路 - 输出
no vulnerabilities found不代表安全——可能只是当前调用路径没进它的 callgraph 分析范围，或漏洞还没同步到vuln.go.dev
必须补上 govulncheck -test ./，强制让它走通测试入口，才能暴露那些“只在 CI 里加载、线上不用但依然存在”的依赖链。
go mod verify 不是摆设，但它只校验“和上次一样”，不保“上次就是干净的”
go mod verify 检的是本地缓存模块和 go.sum 里记录的哈希是否一致。这能防缓存污染、中间人篡改，但有三个关键前提：
立即学习“go语言免费学习笔记（深入）”；
-
go.sum必须提交 Git——没人提交，新成员 clone 后跑go mod verify会直接报missing go.sum entry - CI 流水线第一行就得跑
go mod verify，失败立即中断；别等go build结束才发现模块被换过 - 要设
GOSUMDB=sum.golang.org，否则旧版 Go 或某些私有环境可能默认关掉远程校验，失去对公共 checksum database 的比对能力
注意：go.sum 不防“第一次就下错”。如果某次 go mod download 从被污染的 proxy 拉了恶意包，go.sum 会忠实地记下那个坏哈希——之后所有 verify 都会通过，因为它“和上次一样”。
哪些包必须人工盯？go list -m all + 关键词过滤不能省
govulncheck 和 go mod verify 都不会主动提醒你：“嘿，你项目里用了 golang.org/x/net，它被 87 个其他包间接依赖，但最近一个子功能刚爆 CVE。” 这类高频基础包得自己筛：
- 执行
go list -m all | grep -E "(golang\.org/x|github\.com/.*\.(sql|http|crypto))"，快速捞出常见风险域模块 - 对每个可疑模块，查它是否带
// indirect标记：有，说明不是你直接 require 的，得用go mod graph | grep 包名看谁拖进来的 - 特别盯紧
golang.org/x/text和golang.org/x/net：它们被标准库周边大量引用，但govulncheck对其子包覆盖不全
别信自动工具的“全覆盖”宣传。这些包一旦出漏洞，影响面极广，且往往不在主调用路径上，容易被静态分析跳过。
CI 流程里漏掉 go mod tidy 的副作用审查，等于白做前面所有检查
go mod tidy 会更新 go.sum 并清理未使用的依赖，但它也可能悄悄引入新风险：
- 新增的
go.sum条目里突然出现github.com/xxx/yyy@v0.0.1？得确认是不是你团队内部库，还是某天被间接依赖带进来的陌生包 - 执行
go mod tidy后，务必人工 reviewgo.sumdiff，尤其关注哈希前缀是不是h1:（ZIP 包哈希）还是go.mod哈希——前者才是防篡改的关键校验项 - 如果项目用了
replace指向 fork 版本，go mod verify仍会校验原始模块哈希，但实际构建用的是 fork 内容——这种绕过必须在 CI 里加额外检查（比如比对replace目标 commit 是否可信）
依赖安全不是单点动作，而是 go.sum 提交 → go mod verify 强制校验 → govulncheck -test 扫深层链路 → go list 人工筛高危包 → go mod tidy 后人工审变更，这一整条链缺一不可。最容易被忽略的是“测试依赖不扫”和“go.sum 第一次就不干净”这两处。
