gosec扫描不生效主因是路径和模式配置错误：默认仅扫描./...，需确保在go.mod根目录运行，显式指定子目录如./cmd/...，禁用规则须用// gosec: ignore或// gosec: disable=G104，CI中需加-fmt=plaintext输出详情。
gosec 命令行扫描不生效，路径和模式写对了吗？
gosec 默认只扫描 ./...（当前目录及子包），如果项目结构是模块化或有 vendor、internal 等非标准布局，容易漏掉关键代码。它不会自动识别 go.mod 中的主模块路径，也不会递归扫描 symlink 目录。
- 确保运行位置在模块根目录（即含
go.mod的目录），否则gosec ./...可能找不到包 - 若需扫描特定子目录（如只扫
cmd和internal），显式列出：gosec ./cmd/... ./internal/... - 避免用
gosec .（只扫当前目录，不进子包），这是最常见误配 - 如果项目用了 Go workspace（
go.work），gosec 不感知 workspace，仍以单个 module 为单位扫描
如何禁用某条规则但不影响全局审计？
gosec 支持按文件、函数甚至行级忽略，但方式有限制：只能用注释，且必须紧贴触发规则的代码行上方，不能隔空行或嵌套在块内。
- 忽略单行：在触发警告的代码正上方加
// gosec: ignore
示例：// gosec: ignore log.Printf("user input: %s", userInput) - 忽略整个函数：在
func关键字正上方加// gosec: ignore - 禁用具体规则：用
// gosec: disable=G104（G104是 error check 忽略警告） - 注意：
//nolint:gosec无效 —— gosec 不认nolint，只认自己定义的注释格式
CI 中集成 gosec 报 exit code 1 却没输出问题？
gosec 在无问题时返回 0，发现漏洞默认返回 1，但默认不打印结果到 stdout（只输出 summary），导致 CI 日志里只看到 “gosec failed” 却不知道哪错了。
- 加
-fmt=plaintext或-fmt=json强制输出详情（推荐前者用于调试） - 加
-no-fail可让有 issue 也返回 0（仅用于过渡期，不建议长期用） - 更稳妥的做法是配合
-out=report.json+ 后续解析，避免依赖 stdout 是否被截断 - GitHub Actions 等环境要注意：默认 shell 可能缓存 stdout，加
stdbuf -oL或设GOCACHE=off减少干扰
自定义规则或绕过 false positive 太麻烦？先看 gosec 版本和配置项
gosec 本身不支持插件式规则扩展，但 v2.15.0+ 提供了 -config 参数读取 YAML 配置，可开关内置规则、调高/低敏感度，比硬编码 ignore 更可持续。
立即学习“go语言免费学习笔记（深入）”；
- 配置文件示例：
rules: G101: {severity: HIGH, confidence: LOW}
表示降低硬编码密码检查（G101）的置信度阈值，减少误报 - 注意：配置只影响规则触发逻辑，不改变扫描范围或 import 解析行为
- 老版本（< v2.12.0）不支持
-config，强行使用会静默失败 —— 先跑gosec -version确认 - 如果项目大量使用
unsafe或反射操作，G103（unsafe usage）和G109（int conversion）极易误报，这时调整配置比满屏加 ignore 注释更实际
gosec 的核心限制在于它是个静态 AST 分析器，不执行代码、不跟踪跨包调用链，所以像 “从 config 文件读 secret 再传给 crypto” 这类路径，它基本判不出。别指望靠配置让它变“聪明”，该补的单元测试和 manual review 还得做。
