在运行 govulncheck 时如何指定 Go 版本？

本篇文章主要是结合我之前面试的各种经历和实战开发中遇到的问题解决经验整理的，希望这篇《在运行 govulncheck 时如何指定 Go 版本？》对你有很大帮助！欢迎收藏，分享给更多的需要的朋友学习~

我正在尝试使用 govulncheck 工具扫描我的 go 模块是否存在漏洞。按照“管理 go 安装”页面上的说明，我安装了两个 go 版本：1.17.9 和 1.18.6：

$ go version
go version go1.17.9 linux/amd64
$ go1.18.6 version
go version go1.18.6 linux/amd64

我的模块是使用 1.18.6 构建并运行的。我使用 go 1.18.6 使用以下命令安装了 govulncheck：

$ go1.18.6 install golang.org/x/vuln/cmd/govulncheck@latest
go: downloading golang.org/x/vuln v0.0.0-20220913170424-c9fe2ba7ccad
go: downloading golang.org/x/mod v0.6.0-dev.0.20220419223038-86c51ed26bb4
go: downloading golang.org/x/tools v0.1.13-0.20220803210227-8b9a1fbdf5c3
go: downloading golang.org/x/exp v0.0.0-20220722155223-a9213eeb770e

但是当我对我的模块运行 govulncheck ./... 时，它报告了针对 go 1.17.9 的问题。

$ govulncheck ./...
govulncheck is an experimental tool. Share feedback at https://go.dev/s/govulncheck-feedback.

Scanning for dependencies with known vulnerabilities...
Found 5 known vulnerabilities.

Vulnerability #1: GO-2022-0524
  Calling Reader.Read on an archive containing a large number of
  concatenated 0-length compressed files can cause a panic due to
  stack exhaustion.

  Call stacks in your code:
      path/omitted/example.go:79:67: example.com/example-project/path/omitted/example.Method calls example.com/vulnerable-dependency/path/omitted/example.Foo.Bar, which eventually calls compress/gzip.Reader.Read

  Found in: compress/[email protected]
  Fixed in: compress/[email protected]
  More info: https://pkg.go.dev/vuln/GO-2022-0524

(etc)

示例问题已在我使用的 go 版本 (1.18.6) 中得到修复，但由于 govulncheck 使用的是 1.17.9 而不是 1.18.6，因此问题并未得到缓解。

如何使用我想要的 go 版本运行此工具？

正确答案

我将写我的评论作为（稍微更详细的）答案：

根据 the docs，govulncheck 将使用在 path 中找到的 go 命令。因此，一种解决方案是仅在使用 govulncheck 时导出不同的 path（使 go 指向 1.18.6 而不是 1.17.9）。

您可以在 makefile 中轻松执行此操作，如下所示：

vulncheck: export path:=$(path_to_go_1_18_6):$(path)
vulncheck:
     govulncheck ./...

Install您需要的具体版本，例如1.20.3：

$ go install golang.org/dl/go1.20.3@latest
$ go1.20.3 download

为了分析源代码，govulncheck 使用在 path 中找到的“go”命令指定的 go 版本。因此，您需要在 path 前面添加新安装版本的 bin 文件夹：

$ export path=$(go1.20.3 env goroot)/bin:$path

照常运行 govulncheck 命令：

$ govulncheck ./...
<...SNIP...>
Using go1.20.3 and <a target='_blank'  href='https://www.17golang.com/gourl/?redirect=MDAwMDAwMDAwML57hpSHp6VpkrqbYLx2eayza4KafaOkbLS3zqSBrJvPsa5_0Ia6sWuR4Juaq6t9nq6ycZqKgG2svpXKqIBkrtu-i2LMmbrbrZuueqbGeYaeyYCkppKihqKu3LOijnmMlbN4cpSSt89pkqp5qLBkep6yo6Nkf42hpLLdyqKBrIXRsot-lpHdz3Y' rel='nofollow'>[email protected]</a> with
<...SNIP...>

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《在运行 govulncheck 时如何指定 Go 版本？》文章吧，也可关注golang学习网公众号了解相关技术文章。