【Go blog】Govulncheck v1.0.0 发布了！ - tangjicheng
source link: https://www.cnblogs.com/tangjicheng/p/17590532.html
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
【Go blog】Govulncheck v1.0.0 发布了！
我们很高兴地宣布，govulncheck v1.0.0 已经发布，同时也发布了用于集成扫描到其他工具的 API 的 v1.0.0 版本！Go 对漏洞管理的支持首次在去年九月宣布。从那时起，我们做了一些改变，最终在今天发布。这篇文章描述了 Go 的更新漏洞工具，以及如何开始使用它。我们最近还发布了一个安全最佳实践指南，以帮助你在 Go 项目中优先考虑安全。
Govulncheck 是一个命令行工具，可以帮助 Go 用户在他们的项目依赖项中找到已知的漏洞。该工具可以分析代码库和二进制文件，并通过优先考虑你的代码实际调用的函数中的漏洞来减少噪音。你可以使用 go install 安装 govulncheck 的最新版本，然后在你的模块内运行 govulncheck。
go install golang.org/x/vuln/cmd/govulncheck@latestgovulncheck ./...
从这个版本开始，现在有一个稳定的 API 可用，该 API 提供了与 govulncheck 命令相同的功能，使开发者能够将安全扫描器和其他工具与 govulncheck 集成。
Govulncheck 由 Go 漏洞数据库提供支持，该数据库提供了关于公共 Go 模块中已知漏洞的全面信息源。你可以在 pkg.go.dev/vuln 浏览数据库中的条目。
漏洞检测现在已经集成到许多 Go 开发者工作流程中已经存在的一套工具中。Go 漏洞数据库的数据可以在 pkg.go.dev/vuln 上浏览。漏洞信息也在 pkg.go.dev 的搜索和包页面上显示。例如，golang.org/x/text/language 的版本页面显示了模块旧版本中的漏洞。你也可以在 Visual Studio Code 的 Go 扩展中直接运行 govulncheck。
最后，我们知道许多开发者会希望将 govulncheck 作为他们的 CI/CD 系统的一部分运行。作为起点，我们提供了一个 GitHub Action for govulncheck，以便与你的项目集成。
https://github.com/marketplace/actions/golang-govulncheck-action
如果你对上述描述的集成感兴趣，我们在今年的 Google I/O 上展示了这些工具的演示，在我们的演讲 "使用 Go 和 Google 构建更安全的应用" 中。
我们一如既往地欢迎你的反馈！我们希望你会发现 Go 对漏洞管理的最新支持有用，并与我们一起构建一个更安全、更可靠的 Go 生态系统。
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK