我们很高兴地宣布，govulncheck v1.0.0 已经发布，同时也发布了用于集成扫描到其他工具的 API 的 v1.0.0 版本！Go 对漏洞管理的支持首次在去年九月宣布。从那时起，我们做了一些改变，最终在今天发布。这篇文章描述了 Go 的更新漏洞工具，以及如何开始使用它。我们最近还发布了一个安全最佳实践指南，以帮助你在 Go 项目中优先考虑安全。
Govulncheck 是一个命令行工具，可以帮助 Go 用户在他们的项目依赖项中找到已知的漏洞。该工具可以分析代码库和二进制文件，并通过优先考虑你的代码实际调用的函数中的漏洞来减少噪音。你可以使用 go install 安装 govulncheck 的最新版本，然后在你的模块内运行 govulncheck。
go install golang.org/x/vuln/cmd/govulncheck@latest
govulncheck ./...
从这个版本开始，现在有一个稳定的 API 可用，该 API 提供了与 govulncheck 命令相同的功能，使开发者能够将安全扫描器和其他工具与 govulncheck 集成。
Govulncheck 由 Go 漏洞数据库提供支持，该数据库提供了关于公共 Go 模块中已知漏洞的全面信息源。你可以在 pkg.go.dev/vuln 浏览数据库中的条目。
漏洞检测现在已经集成到许多 Go 开发者工作流程中已经存在的一套工具中。Go 漏洞数据库的数据可以在 pkg.go.dev/vuln 上浏览。漏洞信息也在 pkg.go.dev 的搜索和包页面上显示。例如，golang.org/x/text/language 的版本页面显示了模块旧版本中的漏洞。你也可以在 Visual Studio Code 的 Go 扩展中直接运行 govulncheck。
最后，我们知道许多开发者会希望将 govulncheck 作为他们的 CI/CD 系统的一部分运行。作为起点，我们提供了一个 GitHub Action for govulncheck，以便与你的项目集成。
https://github.com/marketplace/actions/golang-govulncheck-action
如果你对上述描述的集成感兴趣，我们在今年的 Google I/O 上展示了这些工具的演示，在我们的演讲 "使用 Go 和 Google 构建更安全的应用" 中。
我们一如既往地欢迎你的反馈！我们希望你会发现 Go 对漏洞管理的最新支持有用，并与我们一起构建一个更安全、更可靠的 Go 生态系统。