Alt+Enter不弹出依赖漏洞信息，因其仅响应静态语义问题；漏洞扫描需通过External Tools手动配置govulncheck并传参-deps -test，结果需自行解析JSON或终端查看。
Alt+Enter 不会弹出依赖漏洞信息
GoLand 的 Alt+Enter 是“快速修复/意图操作”快捷键，它只响应当前光标所在位置的**静态语义问题**（比如未使用的变量、缺失 import、类型不匹配），而**不触发、也不展示依赖漏洞扫描结果**。依赖漏洞属于构建时/运行时外部分析范畴，和编辑器实时检查无关。你按了没反应，不是配置错了，是功能压根不支持这个路径。
真正能查漏洞的地方在 External Tools 里
GoLand 没有把漏洞信息集成进代码补全或 Alt+Enter 流程中。所有可用的漏洞扫描都得走 External Tools 手动配置：
- 必须先装好
govulncheck：go install golang.org/x/vuln/cmd/govulncheck@latest - Settings → Tools → External Tools → + 添加，
Program填$GOPATH/bin/govulncheck（或绝对路径） -
Arguments至少含-deps -test -format=json，否则漏掉测试引入的间接依赖（如golang.org/x/crypto） - 执行后结果默认输出到控制台，或重定向到 JSON 文件——但
govulncheck即使发现漏洞也返回 exit code 0，不能靠红绿状态判断成败
别指望 GUI 点一下就看到“高危包列表”
GoLand 不解析 govuln-report.json 并渲染成可点击的漏洞面板。你得自己打开报告文件，搜 "Vulnerabilities" 字段；或者用终端跑：
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
jq -r '.Vulnerabilities[] | "\(.ID) \(.Package.Path)@\(.Package.Version)"' govuln-report.json
更关键的是：漏洞是否真实可利用，还得结合调用链看——govulncheck ./ 和 govulncheck -test ./ 可能各报不同包，./internal/ 子模块默认不扫，必须显式加路径。
Alt+Enter 能做的，只是帮你删掉“看着像冗余”的 import
如果你刚删了某行 import "github.com/sirupsen/logrus"，光标停在那行上按 Alt+Enter → “Optimize imports”，它会从该文件移除引用，但不会动 go.mod，也不会告诉你这个包是否被测试文件或 replace 规则间接拉入。真要确认是否可删，得手动跑：
go mod why -m github.com/sirupsen/logrus -test
或者搜整个项目：Ctrl+Shift+F 查包名，再右键 → “Find Usages”，看是否只出现在 *_test.go 里。
