Snyk 扫描本地 Go 容器镜像需显式提供 go.mod/go.sum：Dockerfile 中复制依赖文件，扫描时用 --file=go.mod 或 --file=Dockerfile；需组合执行 snyk test（module 漏洞）与 snyk container test（OS/基础镜像漏洞），CI 中通过受保护密钥安全传 SNYK_TOKEN。
怎么让 Snyk 扫描本地构建的 Go 容器镜像
Snyk 默认不识别 Go 二进制的依赖关系，直接扫描 docker build 出来的镜像会漏掉大量 Go module 漏洞。关键在于：必须让 Snyk 知道这个镜像是用 Go 构建的，并且提供 go.sum 或 go.mod 的上下文。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 在
Dockerfile中，把go.mod和go.sum复制到镜像根目录（哪怕只用于扫描），例如：COPY go.mod go.sum /app/
- 扫描时加
--file=Dockerfile参数，并确保当前目录有go.mod；Snyk 会自动检测 Go 项目结构 - 如果镜像里没源码（比如用
FROM scratch），必须用snyk container test <image> --file=go.mod显式指定依赖文件路径 - 避免用
go build -ldflags="-s -w"后再删掉go.*文件——Snyk 不会从二进制反推 module 版本
为什么 snyk test 扫不到 Go 项目的 runtime 漏洞
snyk test 默认走的是源码模式（project-type=gomod），只分析 go.mod 声明的依赖，不检查你实际打包进容器的 Go 运行时、CGO 链接的 C 库、或基础镜像里的系统包（比如 alpine:3.19 里的 openssl）。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- Go 应用漏洞分三类：module 依赖（
snyk test）、基础镜像 OS 包（snyk container test）、运行时本身（如 Go 1.21.0 的已知 panic 漏洞，需查 GitHub go issues） - 想一次扫全，得组合执行：
snyk test && snyk container test <your-image>
- 注意
snyk container test对scratch镜像支持有限——它依赖包管理器元数据，scratch里啥都没有，只能靠--file=go.mod回退到 module 分析
snyk auth 失败后 CI 中怎么安全传 token
CI 环境里硬编码 SNYK_TOKEN 或写进 .snyk 文件是高危操作，尤其当仓库公开或 PR 触发构建时，token 可能被日志泄露。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- GitLab CI：用
Settings > CI/CD > Variables设置SNYK_TOKEN，勾选 “Protected” 和 “Masked” - GitHub Actions：存为 Secret，引用时用
env: { SNYK_TOKEN: ${{ secrets.SNYK_TOKEN }}，绝不在run步骤里 echo 或调试输出 - 本地开发测试时，用
snyk auth --org=<org-id>登录一次即可，token 存在~/.snyk，别提交该文件 - 如果 CI 报
Failed to authenticate with Snyk，先确认 org ID 是否拼错——snyk orgs能列出所有可访问的 org，复制 exact name
Go 交叉编译镜像扫描失败的常见原因
用 GOOS=linux GOARCH=arm64 go build 构建再塞进 debian:slim 镜像，Snyk 可能报 Could not detect project type 或漏掉 CGO 相关漏洞（比如 cgo 调用的 libpng）。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 确保构建阶段保留
CGO_ENABLED=1（除非你明确不用 C 依赖），否则 Snyk 无法识别 cgo 引入的系统库 - 扫描多架构镜像前，先用
docker buildx build --platform linux/arm64,linux/amd64推送到 registry，再用snyk container test <registry/image:tag> --platform=linux/arm64指定架构 - Snyk 目前对
GOOS=js或wasm零支持，这类构建结果不要指望它能分析 - 如果
snyk container test提示Unsupported base image，换基础镜像——优先选gcr.io/distroless/static-debian12这类带 package 元数据的 distroless，别用纯scratch
Go 的模块依赖和容器运行时是两层东西，Snyk 不会自动把 go version 和 CVE 关联起来，得靠你手动对齐 Go 版本公告和 Snyk 的 go runtime 数据源更新节奏。
