核心用法
本 Skill 提供完整的 Go 项目安全漏洞扫描与修复工作流，基于 Google 官方 govulncheck 工具构建。用户可通过以下步骤实现安全检测：
1. 漏洞检测：安装并运行 govulncheck ./... 扫描整个项目的已知 CVE 漏洞
2. 影响评估：通过 -show verbose 参数查看详细漏洞信息，确认漏洞函数是否被实际调用
3. 分级修复：根据漏洞类型选择直接升级、依赖替换或移除策略
4. 验证闭环：修复后重新扫描并执行构建测试，确保功能完整性
Skill 特别针对常见漏洞场景提供专项指导，包括 JWT 库内存分配漏洞（GO-2025-3553）、标准库安全更新等实际案例。
显著优点
- 官方工具链：基于 Google 维护的 govulncheck，漏洞数据库与 Go 安全团队实时同步
- 精准检测：采用静态分析与符号执行结合，区分"存在漏洞代码"与"实际调用路径"，大幅降低误报
- 完整工作流：覆盖检测→评估→修复→验证的闭环流程，避免漏修或错修
- 实战案例丰富：包含 JWT 漏洞、传递依赖处理等高频场景的现成解决方案
- 零代码风险：纯 Markdown 文档型 Skill，无可执行脚本，使用安全
潜在局限
- 被动检测：依赖已知 CVE 数据库，无法发现 0-day 漏洞或业务逻辑缺陷
- Go 版本绑定：govulncheck 需要特定 Go 版本支持，旧版本环境可能受限
- 修复策略偏保守：主要提供依赖升级方案，对于破坏性更新需人工介入评估
- 无自动化集成：未提供 CI/CD 配置模板，需用户自行集成到流水线
适合人群
- Go 后端开发者：需要定期审计项目依赖安全的工程团队
- DevOps/平台工程师：负责构建安全扫描流水线的基础设施人员
- 开源维护者：管理多模块仓库，需批量检测漏洞的项目负责人
- 安全审计人员：进行代码审计时需要快速生成漏洞报告的安全工程师
使用风险
- 安装脚本依赖网络：元数据包含从 golang.org 下载 Go 工具链的 curl 命令，需确保网络环境可信
- 自动升级风险：
go get -u可能引入破坏性变更，生产环境建议先在分支测试 - T3 来源审慎：Skill 由个人开发者发布，建议与官方文档交叉验证关键命令
- 扫描性能开销：大型项目完整扫描可能耗时较长，建议在非高峰时段执行