必须启用GOSUMDB=sum.golang.org强制校验远程签名，因go mod download默认仅比对go.sum哈希，不验证解压后文件完整性，无法发现testdata/或assets中的sh/exe/so等恶意二进制。
go mod download 默认不校验模块内容完整性
直接执行 go mod download 或 go build 时，Go 会从 GOPROXY（如 proxy.golang.org）拉取模块 zip 包，但**不验证包内文件是否被篡改或植入恶意二进制**。攻击者若劫持代理、污染私有镜像源，或在模块中藏匿 init 函数调用的可执行资源（如 os/exec.Command("sh", "-c", ...)），就可能在构建或运行时触发。
- 默认行为只比对
go.sum中记录的模块 zip 哈希，不检查解压后每个文件的哈希或签名 - 恶意包常把可执行体藏在
testdata/、examples/或伪装成.so/.dll文件，绕过常规扫描 - Go 不禁止模块含非 Go 源码文件，
go list -m all也看不到这些文件的存在
必须启用 GOSUMDB 并强制校验远程签名
GOSUMDB=sum.golang.org 不是可选项，而是防供应链投毒的第一道闸门。它让 Go 在下载模块时，不仅核对本地 go.sum，还会向官方 sumdb 查询该模块哈希是否被权威签名背书——若签名不匹配或未收录，go mod download 直接失败。
- CI 流水线开头必须设
export GOSUMDB=sum.golang.org，不能依赖 Go 默认值（旧版本可能默认关闭） - 禁用
GOSUMDB=off或GOSUMDB=none，否则等于主动绕过校验 - 若用私有 proxy，需确保其支持 sumdb 代理协议，否则会 fallback 到不安全路径
手动检查可疑模块是否含非 Go 文件
govulncheck 和静态分析工具无法发现 zip 包里的 shell 脚本、PE 文件或 ELF 二进制，得靠人工或脚本筛一遍。
- 跑
go list -m -json all | jq -r '.Path' | xargs -I{} sh -c 'echo {}; go mod download -json {} 2>/dev/null | jq -r ".Zip" | xargs unzip -l 2>/dev/null | grep -E "\.(sh|exe|dll|so|dylib|bin)$"' - 重点关注路径含
golang.org/x/、github.com/+cli/exec/shell关键词的模块 - 发现
testdata/evil.sh或assets/malware.bin立即移除该模块，改用更可信替代品（如用spf13/cobra替换某个带 init 执行逻辑的 CLI 工具）
构建时禁用 CGO 并限制 exec 调用链
即使拉到了干净模块，运行时仍可能通过 os/exec 加载恶意文件。生产构建应切断这条路径。
立即学习“go语言免费学习笔记（深入）”；
- 加
-ldflags="-s -w"去符号表，同时设CGO_ENABLED=0编译纯静态二进制，彻底排除动态库加载风险 - 用
go vet -vettool=$(which staticcheck) -checks=all扫描os/exec.Command调用，对非常规参数（如拼接用户输入、含/bin/sh）打标告警 - 在 main 包顶部加
import _ "unsafe"并写死//go:linkname钩子不现实，但可在 CI 中用strings.Contains(file, "os/exec")做白名单审批
真正危险的不是“有没有恶意包”，而是你项目里哪些模块被允许执行外部命令、加载动态库、或解压任意 zip 内容——这些能力一旦放开，再干净的依赖树也会变成攻击跳板。
