govulncheck默认不扫描测试代码中的API调用，必须加-test参数才能覆盖TestXXX函数里的不安全用法（如net/http、crypto相关误用），否则易漏风险；同时需配合golangci-lint和-mode=binary扫描，三者缺一不可。
govulncheck 默认不扫测试代码里的 API 调用
你跑 govulncheck ./ 没报漏洞，不代表没风险——很多不规范 API（比如 http.ListenAndServe 直接暴露在 main 包、crypto/rand.Read 误用、template.Parse 未校验输入）只在测试文件里出现，而 govulncheck 默认跳过 _test.go 中的调用链。它只分析构建时实际参与编译的代码路径，-test 参数才是关键开关。
- 必须加
-test：govulncheck -test ./才会把测试目录纳入 callgraph 分析范围 - 特别注意
net/http和crypto相关包：它们的不安全用法（如未设 timeout 的 client、未校验的 TLS 配置）常藏在TestXXX函数里，但 CI 构建时仍会加载对应依赖 - 如果项目用了
//go:build integration这类条件编译标签，-test也不会扫到——得手动指定-tags=integration
go vet 无法捕获的 API 规范问题要靠 golangci-lint 补位
go vet 能发现明显错误（比如 fmt.Printf 参数类型不匹配），但对“API 用法不规范”基本无感。例如 json.Unmarshal 传入 nil 指针、time.Now().UTC() 冗余调用、os.OpenFile 忘写 0600 权限——这些都得靠 golangci-lint 的特定 linter。
- 启用
staticcheck：它会警告time.Now().UTC()（推荐直接用time.Now().In(time.UTC)）、strings.Replace未用strings.ReplaceAll替代 - 启用
errcheck：强制检查所有返回 error 的函数调用，避免os.RemoveAll后不处理 error - 禁用
gosimple的S1039规则（禁止用fmt.Sprintf拼 SQL）——这属于业务逻辑层约束，不在 API 规范范畴，别误开
间接依赖里的 API 漏洞容易被 go list -m all 忽略
go list -m all 只列出模块名和版本，看不出某个包是否在内部调用了危险 API。比如 github.com/gorilla/mux v1.8.0 本身没问题，但它依赖的 golang.org/x/net v0.22.0 里某个 http2 子包用了已废弃的 bytes.Buffer.WriteTo，这种跨模块的 API 传导风险，govulncheck 会报，但 go list 完全不体现。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 查间接依赖是否含高危子包：先
go mod graph | grep "golang.org/x/net@"，再看对应版本是否在 vuln.go.dev 上有 GO-XXXX 编号 - 人工确认调用路径：用
go mod why -m golang.org/x/net看谁引入了它，再打开对应源码查是否真调用了问题 API - 别信
indirect: true标记：它只表示没被主模块require，不等于没被实际执行——只要 import 链存在，API 就可能被触发
CI 中漏掉 -mode=binary 就等于没扫生产环境真实行为
源码扫描（govulncheck ./）和二进制扫描（govulncheck -mode=binary ./myapp）结果可能完全不同。比如你在代码里写了 os/exec.Command("sh", "-c", userInput)，源码扫描能报，但若该分支被 build tag 排除（如 //go:build !prod），最终二进制里根本没这段，-mode=binary 就不会报；反过来，某些 CGO 或 linker 注入的调用，源码里看不到，二进制里却存在。
立即学习“go语言免费学习笔记（深入）”；
- CI 必须并行跑两遍：
govulncheck ./+govulncheck -mode=binary ./bin/myapp - 确保二进制是用
GOOS=linux GOARCH=amd64构建的——govulncheck的漏洞匹配基于目标平台，Windows 下扫出的漏洞列表和 Linux 不同 - 如果用
upx压缩过二进制，govulncheck -mode=binary会失败，得在扫描前解压或跳过压缩步骤
govulncheck -test 覆盖测试路径、golangci-lint 拦住常见误用、govulncheck -mode=binary 验证最终产物——少任何一环，漏洞就可能漏进 release。 
