上一篇文章详细介绍了 Golang 程序漏洞扫描工具 govulncheck 使用的漏洞数据库（Go vulnerability database），本文详细讲解下 Github 项目如何使用 govulncheck。

govulncheck 为 Golang 开发者提供了一种准确可靠的方式来了解程序中可能存在的漏洞。官方也开发了对应的 GitHub Action 来帮助开发者扫描托管在 Github 上的项目。

govulncheck GitHub Action 使用方法

首先在项目根目录创建 .github 目录，然后在 .github 目录下创建 workflows 目录，最后在 workflows 目录下面创建 govulncheck.yml 文件，文件名可以根据自己的实际情况命名。写入如下内容：

name: "govulncheck"

on:
  push:
    branches: [ main ]
  pull_request:
    # The branches below must be a subset of the branches above
    branches: [ main ]
  schedule:
    - cron: '24 1 * * 0'

jobs:
  govulncheck_job:
    runs-on: ubuntu-latest
    name: Run govulncheck
    steps:
      - id: govulncheck
        uses: golang/govulncheck-action@v1
        with:
          go-version-input: 1.20.6
          go-package: ./...

然后提交代码并推送到 github 后，就会自动触发扫描。

govulncheck GitHub Action 相关配置说明

默认情况下，govulncheck Github Action 将运行最新版本的 Go 版本，并扫描所提供的 Go 模块中的所有包。假设在本地安装了最新的 Go 版本，这相当于在命令行中运行以下命令:

$ govulncheck ./...

使用最新的 Go 版本执行扫描并不是我们想要的，所以使用 go-version-input 将 Go 版本设置为了 1.20.6，使用 go-package 指定要扫描的包的范围。govulncheck Github Action 还有其他几个可选的设置，如下:

• work-dir: 运行 govulncheck 的目录, 默认为 '.'
• repo-checkout: 检出仓库，默认为 true
• check-latest：检查最新的 Go 版本，默认为 false
• go-version-file：go.mod 或 go.work 指定的 Go 版本，默认为 ''

当发现漏洞时，GitHub Actions 会显示一个错误，其中包含有关漏洞的信息以及对应的修复方法。如下：