govulncheck 是什么，为什么不能只靠 go list -m all
它不是 Go 官方 go mod 子命令，而是独立二进制工具，专用于调用 Go 官方漏洞数据库（vuln.go.dev）做静态依赖路径分析。单纯跑 go list -m all 只能列出模块版本，完全不检查 CVE 是否影响你实际调用的函数——比如你没导入 crypto/bcrypt，就算项目里间接依赖了有漏洞的 golang.org/x/crypto，也不会被触发。
安装 govulncheck 的三种方式及推荐选择
Go 1.21+ 用户直接用 go install 最稳；旧版本或 CI 环境建议下载预编译二进制；别碰 go get ——它已废弃且会污染 go.mod。
-
go install golang.org/x/vuln/cmd/govulncheck@latest（需GO111MODULE=on，且 GOPROXY 正常） - 从 GitHub Releases 下载对应平台的
govulncheck二进制，chmod +x 后丢进$PATH - 避免：
go get golang.org/x/vuln/cmd/govulncheck—— 会改写go.mod，还可能拉错 commit
运行时必须指定模块路径，否则默认扫描当前目录
govulncheck 不自动识别 go.work 或多模块仓库根，容易漏扫。常见错误是直接在子目录下执行，结果只报该子模块的漏洞，主模块的调用链根本没进分析范围。
- 扫描整个 module：确保在包含
go.mod的根目录运行govulncheck ./... - 扫描特定包：如
govulncheck ./internal/handler，但注意它仍依赖根go.mod解析依赖图 - 多模块项目（
go.work）：必须 cd 到go.work所在目录，再加-work参数：govulncheck -work ./...
输出结果里 “Vulnerable” 不等于“可利用”，关键看 CallStack
govulncheck 报出的漏洞条目里，CallStack 字段才是判断依据。如果 stack 里没有你的代码路径（比如全是 test 或 vendor 内部调用），基本不用修。
立即学习“go语言免费学习笔记（深入）”；
- 真实风险示例：
main.go:12 → http.HandleFunc → net/http.(*ServeMux).ServeHTTP → ... → vulnerable function - 低风险示例：
vendor/some-test-lib/testutil.go → ... → vulnerable function（未进入生产调用链） - 注意：它不支持 --fix 自动升级，得手动改
go.mod+go mod tidy，然后重跑验证
本地开发时建议加 -json 输出配合 jq 过滤，CI 里建议用 --format template 配自定义模板——默认文本格式在管道里难解析，容易误判通过/失败。
