（2366期）go-security-vulnerability – Go依赖安全漏洞智能检测修复

Go依赖安全漏洞智能检测修复 基于Go官方govulncheck工具，提供Go模块安全漏洞识别、评估与修复指导，保障代码供应链安全。 使用说明 该Skill专注于Go语言生态系统的安全漏洞管理，基于Go官方提供的govulncheck工具，为开发者提供从漏洞发现到修复的完整指导方案。作为纯文档型技能，它以教学引导的方式帮助用户建立安全的依赖管理实践。 核心用法涵盖完整的漏洞治理流程。首先通过govulncheck ./...命令对项目依赖进行静态分析，识别包含已知CVE的模块；随后通过-show verbose参数获取详细信息，确认漏洞 severity 和实际代码中的调用路径。在评估阶段，Skill指导用户区分直接依赖与传递依赖，利用go mod why追踪依赖引入原因。修复阶段提供三种策略：直接升级（go get -u）、替换版本（go mod edit -replace）或移除无用依赖，并特别强调对JWT库等常见高危组件的专项处理。 显著优点体现在其技术权威性和操作透明度。依托golang.org/x/vuln官方安全数据库，确保漏洞信息的准确性和时效性；文档结构遵循"检测-评估-修复-验证"的安全治理闭环，提供可落地的操作命令。特别针对Go模块特性，详细区分直接依赖与传递依赖的不同处理方案，避免"一刀切"升级带来的兼容性风险。代码示例涵盖内存分配漏洞（如JWT库GO-2025-3553）等真实场景，具有强实践指导价值。 潜在局限主要包括来源可信度与自动化程度。作为T3级社区来源，虽内容经过安全审计，但缺乏官方组织背书；所有操作需手动执行命令，无法集成到CI/CD流水线实现自动化扫描；功能仅限Go语言生态，不支持多语言混合项目。此外，文档中涉及的go mod edit等操作需要用户对Go模块机制有深入理解，新手可能存在误操作风险。 适用群体主要为Go后端开发人员、DevSecOps工程师以及负责供应链安全的技术负责人。特别适合需要定期审计遗留项目依赖、建立安全基线的团队，或需要快速响应突发漏洞（如Log4j类事件在Go生态的等效场景）的运维人员。 使用风险需关注依赖兼容性与执行安全。执行go get -u升级依赖可能引入破坏性变更，建议配合单元测试验证；从golang.org下载工具时需确认网络环境安全，防止中间人攻击；处理传递依赖时，不当的replace操作可能导致构建不稳定。建议在执行前备份go.mod文件，并在隔离环境验证修复效果。 原始说明 Identify, assess, and fix security vulnerabilities in Go modules using govulncheck. Handle common vulnerabilities like JWT issues and ensure application stability during fixes.