功能说明: 本技能涵盖 中文交互、化工作流场景 等核心能力。

Go安全质量检查免费版

概述

本工具为个人Go开发者提供依赖安全缺陷检测能力,使用官方 govulncheck 工具扫描Go模块中的已知漏洞。免费版支持单项目扫描,提供漏洞影响评估与修复版本建议,帮助开发者在项目上线前或依赖更新前快速识别安全风险。

免费版与专业版对比

核心能力

1. govulncheck质量检查

#!/bin/sh
# Go项目质量检查脚本
echo "=== Go安全质量检查 ==="
echo "项目: $(basename "$(pwd)")"
echo "时间: $(date '+%Y-%m-%d %H:%M:%S')"
echo ""

# 依赖说明
if ! command -v govulncheck &> /dev/null; then
    echo "安装govulncheck..."
    go install golang.org/x/vuln/cmd/govulncheck@latest
fi

# 运行质量检查
echo "--- 运行govulncheck ---"
govulncheck ./... 2>&1

echo ""
echo "--- 扫描完成 ---"

输出: 返回govulncheck质量检查的执行结果,包含操作状态和输出数据。

• 执行此能力时使用input_params参数,支持创建/查询/导出操作

2. 漏洞影响评估

#!/bin/sh
# 漏洞影响评估(JSON输出)
echo "=== 漏洞影响评估 ==="

# 以JSON格式获取扫描结果
govulncheck -json ./... > /tmp/vuln-results.json 2>/dev/null

# 解析漏洞信息
echo ""
echo "--- 漏洞列表 ---"
jq -r '.osv // empty | "漏洞ID: \(.id)\n  描述: \(.summary // .details[:100] // "无描述")\n  严重性: \(.database_specific.severity // "未知")\n"' /tmp/vuln-results.json 2>/dev/null

echo ""
echo "--- 受影响模块 ---"
jq -r '.finding // empty | "模块: \(.trace[0].module)\n  版本: \(.trace[0].version)\n  漏洞: \(.osv)\n  是否调用: \(.trace[1].function // "未直接调用")\n"' /tmp/vuln-results.json 2>/dev/null

echo ""
echo "--- 统计 ---"
TOTAL=$(jq -s '[.[] | select(.osv)] | length' /tmp/vuln-results.json 2>/dev/null || echo "0")
CALLED=$(jq -s '[.[] | select(.finding and .finding.trace[1])] | length' /tmp/vuln-results.json 2>/dev/null || echo "0")
echo "  总漏洞数: ${TOTAL}"
echo "  已调用漏洞: ${CALLED}"
echo "  未调用漏洞: $((TOTAL - CALLED))"

输出: 返回漏洞影响评估的执行结果,包含操作状态和输出数据。

• 执行此能力时使用input_params参数,支持创建/查询/导出操作

3. 修复版本建议

#!/bin/sh
# 漏洞修复建议
echo "=== 漏洞修复建议 ==="
echo ""

# 获取受影响的模块及其漏洞
govulncheck -json ./... 2>/dev/null | jq -r '
    .osv // empty |
    "漏洞: \(.id)",
    "  严重性: \(.database_specific.severity // "未知")",
    "  修复版本: \(.affected[0].ranges[0].events[-1].fixed // "暂无修复版本")",
    "  受影响模块: \(.affected[0].package.name)",
    ""
' 2>/dev/null

echo ""
echo "--- 可修复的漏洞 ---"
echo "执行以下命令更新依赖:"
echo ""
echo "  # 更新所有依赖到最新安全版本"
echo "  go get -u ./..."
echo "  go mod tidy"
echo ""
echo "  # 更新特定模块"
echo "  go get module-name@latest"

输出: 返回修复版本建议的执行结果,包含操作状态和输出数据。

• 执行此能力时使用input_params参数,支持创建/查询/导出操作

4. 依赖版本检查

#!/bin/sh
# Go依赖版本与安全状态检查
echo "=== Go依赖版本检查 ==="
echo ""

if [ ! -f go.mod ]; then
    echo "未找到go.mod文件,请在Go项目根目录运行"
    exit 1
fi

echo "--- 直接依赖 ---"
grep -E '^\s+[^\s]+\s+v[0-9]' go.mod | while read -r module version; do
    # 检查是否有可用更新
    LATEST=$(go list -m -versions "$module" 2>/dev/null | awk '{print $NF}')
    if [ -n "$LATEST" ] && [ "$LATEST" != "$version" ]; then
        echo "  [!] ${module}"
        echo "      当前: ${version}"
        echo "      最新: ${LATEST}"
    else
        echo "  [OK] ${module} ${version}"
    fi
done

echo ""
echo "--- 间接依赖数量 ---"
INDIRECT=$(grep -c '// indirect' go.mod 2>/dev/null || echo "0")
echo "  间接依赖: ${INDIRECT} 个"

输出: 返回依赖版本检查的执行结果,包含操作状态和输出数据。 能力覆盖范围：本skill的核心能力覆盖以下场景关键词：模块安全缺陷检测、扫描已知漏洞、评估影响并提供修、适合个人、开发者使用、安全质量检查免费、为个人、开发者提供依赖漏、洞检测与修复指导、核心能力、依赖更新指导、适用场景、项目上线前安全检、依赖更新前漏洞评、安全集成、差异化、免费版聚焦单项目、使用官方、适合个人开发者快、速上手、适用关键词、依赖漏洞、vulnerability、CVE等。这些关键词对应description中声明的使用场景,均已在上述能力点中提供对应的操作支持。

• 执行此能力时使用input_params参数,支持创建/查询/导出操作

使用场景

场景一:项目上线前安全检查

#!/bin/sh
# Go项目上线前安全检查
echo "========================================="
echo "Go项目上线前安全检查"
echo "项目: $(basename "$(pwd)")"
echo "时间: $(date '+%Y-%m-%d %H:%M:%S')"
echo "========================================="
echo ""

# 1. 检查Go版本
echo "--- 1. Go环境检查 ---"
echo "  Go版本: $(go version)"
echo "  GOPATH: $(go env GOPATH)"
echo "  GOOS: $(go env GOOS)"
echo "  GOARCH: $(go env GOARCH)"

# 2. 检查go.mod
echo ""
echo "--- 2. 模块信息 ---"
if [ -f go.mod ]; then
    MODULE=$(head -1 go.mod | awk '{print $2}')
    GO_VERSION=$(head -3 go.mod | grep '^go' | awk '{print $2}')
    echo "  模块名: ${MODULE}"
    echo "  Go版本: ${GO_VERSION}"
else
    echo "  [!] 未找到go.mod"
    exit 1
fi

# 3. 编译检查
echo ""
echo "--- 3. 编译检查 ---"
if go build ./... 2>/dev/null; then
    echo "  [OK] 编译通过"
else
    echo "  [!] 编译失败"
    go build ./... 2>&1 | head -5
fi

# 4. 质量检查
echo ""
echo "--- 4. 质量检查 ---"
if command -v govulncheck &> /dev/null; then
    VULN_OUTPUT=$(govulncheck ./... 2>&1)
    VULN_COUNT=$(echo "$VULN_OUTPUT" | grep -c "Vulnerability\|GO-" || echo "0")

    if [ "$VULN_COUNT" -eq 0 ]; then
        echo "  [OK] 未发现已知漏洞"
    else
        echo "  [!] 发现 ${VULN_COUNT} 个漏洞"
        echo "$VULN_OUTPUT" | grep "GO-\|Vulnerability\|Fixed in"
    fi
else
    echo "  [!] govulncheck未安装,请运行: go install golang.org/x/vuln/cmd/govulncheck@latest"
fi

# 5. go vet检查
echo ""
echo "--- 5. 静态分析(go vet) ---"
VET_OUTPUT=$(go vet ./... 2>&1)
if [ -z "$VET_OUTPUT" ]; then
    echo "  [OK] go vet通过"
else
    echo "  [!] go vet发现问题:"
    echo "$VET_OUTPUT" | head -5
fi

echo ""
echo "========================================="
echo "安全检查完成"
echo "========================================="

场景二:依赖更新前评估

#!/bin/sh
# 依赖更新前安全评估
echo "=== 依赖更新前安全评估 ==="
echo ""

# 记录当前状态
echo "--- 1. 当前依赖漏洞 ---"
BEFORE_COUNT=$(govulncheck ./... 2>&1 | grep -c "GO-" || echo "0")
echo "  当前漏洞数: ${BEFORE_COUNT}"

# 更新依赖
echo ""
echo "--- 2. 更新依赖 ---"
go get -u ./... 2>/dev/null
go mod tidy 2>/dev/null
echo "  依赖已更新"

# 更新后扫描
echo ""
echo "--- 3. 更新后漏洞 ---"
AFTER_COUNT=$(govulncheck ./... 2>&1 | grep -c "GO-" || echo "0")
echo "  更新后漏洞数: ${AFTER_COUNT}"

# 对比
echo ""
echo "--- 4. 对比结果 ---"
DIFF=$((BEFORE_COUNT - AFTER_COUNT))
if [ "$DIFF" -gt 0 ]; then
    echo "  [OK] 漏洞减少 ${DIFF} 个"
elif [ "$DIFF" -lt 0 ]; then
    echo "  [!] 警告: 漏洞增加 $((0 - DIFF)) 个,建议回退"
else
    echo "  漏洞数量无变化"
fi

场景三:CI安全集成

# .github/workflows/go-security.yml
name: Go Security Scan
on: [push, pull_request]

jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Setup Go
        uses: actions/setup-go@v5
        with:
          go-version: '1.21'

      - name: Install govulncheck
        run: go install golang.org/x/vuln/cmd/govulncheck@latest

      - name: Run vulnerability scan
        run: |
          VULNS=$(govulncheck ./... 2>&1 | grep -c "GO-" || true)
          if [ "$VULNS" -gt 0 ]; then
            echo "Found ${VULNS} vulnerabilities"
            govulncheck ./...
            exit 1
          fi
          echo "No vulnerabilities found"

      - name: Run go vet
        run: go vet ./...

不适用场景

以下场景Go安全质量检查免费版不适合处理：

• 安全评估未授权目标
• 物理安全防护
• 社会工程学攻击

触发条件

需要安全检测、合规审计、质量检查、加密防护时使用。不适用于非本工具能力范围的需求。

快速开始

领先步:安装govulncheck

# 安装govulncheck
go install golang.org/x/vuln/cmd/govulncheck@latest

# 验证安装
govulncheck -version

第二步:运行扫描

# 进入Go项目目录
cd /path/to/your/go/project

# 运行质量检查
govulncheck ./...

第三步:修复漏洞

# 查看修复建议
govulncheck ./... | grep "Fixed in"

# 更新受影响的依赖
go get affected-module@latest
go mod tidy

结果处理: 执行完成后,查看输出结果确认操作状态。成功时输出包含处理摘要和结果数据;失败时根据错误信息排查问题,查阅错误处理章节获取恢复步骤。

示例

govulncheck输出格式

漏洞严重级别

常见Go安全工具

优选实践

1. 定期扫描:至少每周运行一次govulncheck,及时发现新漏洞。
2. 区分调用:关注"called"漏洞(代码实际调用了受影响函数),优先修复。
3. 锁定版本:使用go.sum锁定依赖版本,避免意外引入漏洞版本。
4. CI集成:将govulncheck集成到CI流水线,每次提交自动扫描。
5. 及时更新:Go新版本通常包含安全修复,保持Go版本最新。

# 优选实践:安全更新流程
safe_go_update() {
    local module=$1

    echo "安全更新: ${module}"

    # 1. 扫描当前漏洞
    echo "更新前质量检查..."
    BEFORE=$(govulncheck ./... 2>&1 | grep -c "GO-" || echo "0")

    # 2. 更新模块
    go get "${module}@latest"
    go mod tidy

    # 3. 编译验证
    if ! go build ./...; then
        echo "编译失败,回退更新"
        go get "${module}@previous"
        return 1
    fi

    # 4. 扫描更新后漏洞
    echo "更新后质量检查..."
    AFTER=$(govulncheck ./... 2>&1 | grep -c "GO-" || echo "0")

    echo "漏洞变化: ${BEFORE} -> ${AFTER}"

    # 5. 运行测试
    if ! go test ./...; then
        echo "测试失败,建议检查更新影响"
        return 1
    fi

    echo "更新完成"
}

常见问题

Q1: govulncheck扫描出漏洞但代码没调用怎么办?

govulncheck会区分"called"(代码实际调用了受影响函数)和"not called"(仅依赖中存在但未调用)。未调用的漏洞风险较低,但仍建议更新。

Q2: 如何修复没有修复版本的漏洞?

部分漏洞尚无修复版本。建议:1)评估实际影响;2)寻找替代模块;3)在代码中添加防护逻辑;4)关注模块更新动态。

Q3: 扫描速度很慢怎么办?

govulncheck需要分析调用图,大型项目可能较慢。可以使用 -mode binary 模式扫描编译后的二进制,速度更快。

Q4: 免费版支持代码安全扫描吗?

免费版使用govulncheck专注依赖漏洞。代码安全分析(gosec)需要专业版支持。

Q5: 如何在CI中阻断有漏洞的构建?

在CI脚本中检查govulncheck输出,发现"called"漏洞时exit 1阻断构建。参考CI集成示例。

依赖说明

运行环境

• Agent平台: 支持SKILL.md的任意AI Agent(Claude Code / Cursor / Codex / Gemini CLI等)
• 操作系统: Windows / macOS / Linux
• Go: 1.18+(govulncheck最低要求)
• 网络: 需可访问Go模块代理和漏洞数据库

第三方依赖

API Key 配置

• 免费版使用官方漏洞数据库,无需API Key
• Go模块代理默认使用proxy.golang.org,如需私有代理配置GOPROXY环境变量

可用性分类

• 分类: MD+execute(纯Markdown指令,核心功能需要exec命令行执行能力)
• 说明: 基于Markdown的AI Skill,通过自然语言指令驱动Agent执行Go项目安全质量检查与修复任务

错误处理

已知限制

• 需LLM支持,无LLM环境不可用
• 复杂业务场景建议结合人工经验判断
• 执行效率受模型能力与网络环境影响
• 当前为免费版本,如需完整功能请升级到付费版获取全部能力

安全注意事项

使用前请确认已阅读依赖说明章节，确保运行环境满足安全要求。

核心功能

• 自动化执行: 基于指令驱动的自动化流程
• 文件处理: 支持多种文件格式的读取、解析和写入操作
• API集成: 通过标准化接口调用外部服务并处理响应
• 命令执行: 在安全沙箱中执行系统命令并收集结果
• 信息检索: 快速搜索和过滤目标数据