Go的全新漏洞检测工具govulncheck来了-Toy模板网

这篇具有很好参考价值的文章主要介绍了Go的全新漏洞检测工具govulncheck来了。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

Go安全团队在2022.09.06发布了全新的漏洞检测工具govulncheck，可以帮助我们发现Go程序里的安全漏洞。

本文详细介绍该工具目前的现状以及接下来的功能规划。

govulncheck,golang,golang,安全

上图是Go安全团队对于Go代码漏洞检测的系统架构图。

第1步，漏洞采集。Go安全团队会采集众多漏洞数据库，包括公开的漏洞数据库(例如National Vulnerability Database (NVD)和 GitHub Advisory Database)、社区反馈的Go package漏洞以及Go团队修复过的安全漏洞等。
第2步：更新Go的漏洞数据库。对于第1步里收集到的安全漏洞，Go安全团队会出具评估报告，对报告的漏洞做评审，如果确认是需要处理的会进入到Go的漏洞数据库里。这些漏洞存储的按照 Open Source Vulnerability (OSV) format 格式进行存储，并且可以通过API获取到。
第3步：工具集成。对于新的漏洞处理后，会相应更新 pkg.go.dev 上的漏洞说明以及发布漏洞检测工具 govulncheck的新版本。govulncheck可以分析扫描你的代码仓库，只展示那些真正影响到你程序执行的漏洞。govulncheck工具非常可靠，很少误报，可以帮助你快速发现一些已知的安全漏洞。

Go安全团队维护了一个漏洞数据库，地址是https://vuln.go.dev，也就是上面第2步所说的漏洞数据库。

Go的漏洞数据库里包含的漏洞，可以在这个链接地址pkg.go.dev/vuln进行查看。

全新的govulncheck 命令可以帮助你发现代码里的安全漏洞。

安装和使用方法如下：

$ go install golang.org/x/vuln/cmd/govulncheck@latest
$ govulncheck ./...

govulncheck是一个独立的工具，可能会频繁更新和迭代。Go安全团队对于govulncheck的长期计划是把该工具集成到Go的发布版本里。

备注:

golang.org/x下所有package的源码独立于Go源码的主干分支，也不在Go的二进制安装包里。如果需要使用golang.org/x下的package，可以使用go get来安装。govulncheck工具就属于这种情况。
golang.org/x/exp下的所有package都属于实验性质或者被废弃的package，不建议使用。

golang.org/x/vuln这个仓库里包含有3个主要模块：

vulncheck 包。为了方便把govulncheck的漏洞检测功能集成给其它工具或服务，vulncheck 里把govulncheck的功能进行了封装，在vulncheck这个package里提供了相应的Go函数，可以被直接调用。
govulncheck命令。是命令行工具，对vulncheck包里漏洞检测功能做了封装。
client包。该package封装了一个用于和Go漏洞数据库交互的client。

为了方便Go开发者更早和更好地了解到漏洞信息，Go团队把漏洞检测也集成到了Go的工具链和服务里。

例如，大家可以在package.go.dev网站的版本漏洞页面查看到golang.org/text这个package各个版本的安全漏洞情况。

Go的VS Code扩展插件对于govulncheck的支持也很快就可以发布。