GoLand默认禁用所有可执行外部命令的模板，内置模板均为纯文本生成；真正有风险的是含groovyScript表达式的自定义模板，需在Settings→Editor→Live Templates中手动排查删除。
GoLand 里哪些宏默认被禁用？
GoLand 不叫“宏”，它叫 Live Templates 或 File Templates，但用户常把自动展开的代码片段统称“宏”。真正有安全风险的是两类：一类是能执行外部命令的模板（比如调用 os/exec 或 shell 脚本），另一类是嵌入了未校验输入的生成逻辑（比如直接拼接用户输入进 SQL 字符串）。GoLand 默认不启用任何可执行外部命令的模板，所有内置模板都纯文本生成，不会调用系统 API。
怎么关掉项目里自定义的危险模板？
如果你或团队导入过第三方模板包（比如从 GitHub 下载的 go-sec-templates.jar），它们可能含 groovyScript 表达式，这类脚本能在 IDE 启动时执行任意 Java 代码——这是唯一真实存在的“宏执行”通道。
- 进
Settings → Editor → Live Templates，切换到All模板组，逐个检查每个模板的Edit variables窗口里有没有groovyScript字样 - 重点排查缩写为
exec、run、shell、cmd的模板，哪怕名字看起来无害，也要点开看变量表达式 - 删掉整个模板组比单条禁用更可靠；如果必须保留，右键模板 →
Remove，别只取消勾选 - 模板文件若来自
jar包，别手动删.jar，而应去Settings → Plugins卸载对应插件
为什么改了 Settings 还会触发可疑模板？
因为 GoLand 的模板作用域分三层：IDE 级（全局）、Project 级（当前项目）、Module 级（单个模块）。你改的是 IDE 级设置，但项目根目录下如果有 .idea/templates/ 文件夹，里面放的 XML 模板会覆盖 IDE 设置，且不显示在 Settings UI 里。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 检查路径：
.idea/templates/liveTemplates.xml和.idea/templates/fileTemplates.xml - 打开这些 XML，搜索
<variable>标签里的expression="groovyScript或script: - 删掉整段含可疑表达式的
<template>节点，保存后重启 IDE - 顺手运行
find .idea -name "*.xml" | xargs grep -l "groovy\|script:"，确保没漏掉隐藏模板文件
真正的安全边界其实在 GOPATH 和 go.mod
模板再危险，也只影响代码生成阶段；真正决定是否“执行”的是 go run 或 dlv debug。很多团队误以为关掉模板就安全了，却忽略项目级约束缺失：
-
go.mod里没锁死replace规则，别人提 PR 加个恶意replace github.com/some/pkg => ./malicious，你一go build就执行 -
GOPATH指向共享目录（比如/tmp/go），多人共用时，有人往src/下塞恶意包，你go get就中招 - CI 流水线没跑
go list -m all校验依赖树，恶意包混在 indirect 依赖里根本没人看
模板只是入口，依赖链才是执行面。项目级安全策略的核心不是防模板，而是让所有 go 命令都在受控沙箱里跑——比如用 Docker 构建、用 go work 隔离模块、用 goverify 扫描未签名包。这点最容易被忽略。
