如何通过Go Mod Vendor在Golang中高效审计依赖库代码？

本文共计894个文字，预计阅读时间需要4分钟。

无法。它仅包含当前go.mod锁定的依赖快照，不包含版本历史、提交哈希、CVE关联信息，也不反照间接依赖的真实来源（例如被replace覆盖的模块可能完全没进vendor）。审计必须结合go list -json -m all和govulncheck等工具，vendor目录仅是代码副本，不是审计依赖的依据。

go mod vendor 后怎么确认某依赖是否被 replace 或 exclude？

go mod vendor 默认不处理 replace 和 exclude 的语义验证——它只按 go.mod 解析后的最终模块图拉取代码。但你很容易漏掉这些覆盖逻辑，导致 vendor 内容和实际构建行为不一致：

• 检查 go.mod 中是否有 replace 指向本地路径或非官方仓库，这类模块会被复制进 vendor/，但源不可追溯
• exclude 不影响 vendor 内容：被 exclude 的模块只要仍被依赖图引用（比如某个未 exclude 的间接依赖还用它），它依然会出现在 vendor/ 里
• 运行 go list -mod=readonly -m all | grep 'your-module'，对比输出和 vendor/ 下对应目录名是否一致，不一致说明有 replace 干扰

govulncheck 能否基于 vendor/ 目录离线扫描？

不能。