Skill de Auditoria de Módulos e Segurança Go

Skill de política de govulncheck e dependências para agentes - uma Skill de Agente em estilo de cookbook para varreduras de segurança de módulos Go 1.26 antes do lançamento.

O Que Esta Skill Faz

Produz um plano de auditoria executável: resultados do govulncheck, rastros de importação vulneráveis, sugestões de pins de go get, sinalizadores de licença/política e comandos de verificação - sem mesclar automaticamente alterações de dependência.

Quando Invocar

• Higiene semanal ou pré-lançamento de dependências
• Após alertas do Dependabot ou scanner de segurança
• Quando agentes sugerem atualizações de go get
• Integração de novos módulos no workspace go work do monorepo
• Revisão pós-incidente de exposição da cadeia de suprimentos

Entradas

Saídas

• Tabela resumida govulncheck -json: CVE, módulo, versão corrigida, caminho de chamada
• Sugestões de comandos go get module@version (humano aprova)
• Outliers de licença vs lista de permissões
• Verificação: go test ./..., go mod verify, comando opcional syft SBOM

Guardrails

1. Sem go get -u ./... sem aprovação humana explícita e revisão do changelog.
2. Bumps de versão principal exigem ADR ou referência de ticket na saída.
3. Não edite go.sum manualmente - apenas go get / go mod tidy.
4. Respeite as diretivas retract no go.mod do consumidor.
5. Execute testes após cada pin sugerido antes de sugerir o merge.
6. Módulos internos - verifique GOPRIVATE antes de publicar logs de auditoria.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

# 1. Integridade base do módulo
go mod verify
go list -m -json all | head   # sanity check: grafo resolve
 
# 2. Análise de vulnerabilidade
govulncheck -json ./... > /tmp/vuln.json
 
# 3. Resumo legível por humanos
govulncheck ./...
 
# 4. Após pins aprovados apenas
go get golang.org/x/net@v0.34.0
go mod tidy
go test ./...
govulncheck ./...

Quando usar esta skill:

• O capitão de lançamento precisa de varredura de CVE antes da tag
• Agente propôs atualizações de dependência sem análise de caminho de chamada
• Conformidade solicita evidências SBOM do grafo de módulos Go

Exemplo de Trabalho

Passo 0 - Ambiente

go version          # espera 1.26.x por pin de stack
echo "$GOPROXY"     # documenta o proxy usado para auditoria
go env GOMOD

Passo 1 - Executar govulncheck

govulncheck -show verbose ./...

• Vulnerável apenas em testes de importação pode diminuir a prioridade por política
• Veja Escaneamento de Dependências com govulncheck e SBOM

Passo 2 - Propor pins (não aplicar)

# Sugestão de saída de exemplo - humano executa após aprovação
go get golang.org/x/crypto@v0.31.0
go mod tidy

Documente por que cada pin é necessário: CVE, caminho de chamada, risco de quebra de alteração.

Passo 3 - Análise de licença (opcional)

# Se a equipe usa syft ou go-licenses - adapte à sua toolchain
go list -m -json all | jq -r '.Path' | sort -u

Sinalize módulos fora da lista de permissões para revisão legal.

Passo 4 - Verificar

go test ./... -count=1
go mod verify
govulncheck ./...

Mergulho Profundo

Seleção Mínima de Versão (MVS) significa que go get em um módulo pode puxar pins transitivos.

A saída da skill deve listar as alterações diretas e indiretas da diferença de go list -m -u all.

Diretivas replace ocultam versões de scanners ingênuos - audite o bloco replace do go.mod explicitamente.

Workspaces go work exigem a execução de govulncheck de cada módulo ou raiz do workspace por convenção da equipe.

Retract em seu próprio módulo: a skill deve verificar se você não está publicando versões retratadas.

Armadilhas

• Falsos positivos quando a vulnerabilidade está em um caminho de código inacessível - ainda documente; a segurança pode substituir.
• go get -u em módulos x/* relacionados à stdlib pode se propagar em cascata - fixe cirurgicamente.
• Modo Vendor (-mod=vendor) precisa de go mod vendor após os pins - mencione na saída.
• Módulos privados sem linhas de soma falham go mod verify em CI - política separada.

Alternativas

FAQs

Relacionados

• Fundamentos das Skills de Agente - estrutura SKILL.md
• Fundamentos de Pacotes e Módulos - fundamentos de go.mod
• go.mod, go.sum e Seleção Mínima de Versão - MVS
• Escaneamento de Dependências com govulncheck e SBOM - referência humana
• Governança de Dependências e Conformidade de Licenças - política
• GitHub Actions para Repositórios Go - integração CI

Versões de Stack: Esta página foi escrita para Go 1.26.x (padrão Green Tea GC, go fix modernizers - verifique o patch na compilação), chi (última versão - verifique na compilação), gin (última versão - verifique na compilação), echo (última versão - verifique na compilação), google.golang.org/grpc (última versão - verifique na compilação), sigs.k8s.io/controller-runtime (última versão - verifique na compilação), kubebuilder (última versão - verifique os alvos de placa na compilação), tinygo (última versão - verifique os alvos de placa na compilação), wazero (última versão - verifique na compilação) e golangci-lint (última versão - verifique o conjunto de linters na compilação).