govulncheck

Go 依赖漏洞扫描工具

补充说明

govulncheck 基于 Go 漏洞数据库分析模块依赖，并尽量判断漏洞代码是否真的被调用。它比只列依赖版本更少误报，但不能替代完整的供应链审计。

常用示例

go install golang.org/x/vuln/cmd/govulncheck@latest
govulncheck ./...
govulncheck -mode=binary ./app
govulncheck -show=verbose ./...
govulncheck -json ./... > vuln.json
govulncheck -scan=module ./...

易错点与排错

• 默认只报告“可达”的漏洞；未调用到的漏洞可能不显示，但这不代表依赖可以忽略。
• 需要完整的模块图和 go.sum；在裁剪过的 vendor 目录里结果可能不完整。
• 漏洞数据库会更新；同一份代码在不同时间扫描结果可能不同。
• -mode=binary 适合只有二进制没有源码的场景，但定位信息较少。
• 退出码可用于 CI；先确认团队把哪些级别视为失败。
• 扫描通过不等于没有漏洞；配置、镜像和运行时依赖也要单独检查。
• 升级依赖后重新扫描；只改 go.mod 不更新代码可能仍然可达。

相关命令

• go — 模块与构建
• govulncheck 官方文档 — https://pkg.go.dev/golang.org/x/vuln/cmd/govulncheck