Go1.25 新特性：引入go mod verify -tag，模塊管理又更安全了！

作者：陳煎魚 2025-04-29 08:59:37

Go 模塊管理（Module）已經發展了好幾年了。在近年來，像是供應鏈攻擊和各類安全訴求越提越多。感覺過段時間也也快到護網的日子了。

大家好，我是煎魚。

Go 模塊管理（Module）已經發展了好幾年了。在近年來，像是供應鏈攻擊和各類安全訴求越提越多。感覺過段時間也也快到護網的日子了。

最近 Go1.25 新特性中，對于這一塊有了一個小點的補全，可以提高一定的安全性。分享給大家。

背景

最早在 2021 年時，@Jay Conrod 就提出過《cmd/go: go mod verify should check hashes in go.sum against GOSUMDB[1]》的問題：

圖片

其復現問題的步驟是：

給一個模塊打版本，例如 example.com/m@v0.1.0。
設置 GOPROXY=direct，GOSUMDB=off。然后在另一個模塊中 go get example.com/m@v0.1.0。這樣就能在不通知 proxy.golang.org 或 sum.golang.org 的情況下將該版本下載到緩存中，并在 go.sum 中添加一個 sum 版本。
更改某些內容并更新版本標簽，使其指向新的更改。
清除 GOPROXY 和 GOSUMDB。
運行 go mod verify，觀察無安全錯誤。
使用 go clean -modcache 清理模塊緩存。
運行 go list all 或其他可下載修改后版本的命令，發現安全錯誤。

實際上：在第一次執行 go mod verify 命令時，應當報告一個安全錯誤。

也就是對于構建列表中未被 GOPRIVATE 或 GONOSUMDB 匹配的模塊（即所有公開可用的模塊），Go 工具鏈應當：

在這種場景下，由于該模塊的哈希值不在 GOSUMDB 中，工具會嘗試從原始源頭抓取 example.com/m@v0.1.0，并返回該版本的哈希值。

而由于模塊被篡改，其新哈希值將與原始 go.sum 中記錄的不一致，go mod verify 就會報告一個安全錯誤。

在 2024 年，終于再有 “猛人出現”。@Esra-Al 提出了《cmd/go: add go mod verify -tag[2]》，試圖解決這個問題：

圖片

本次提案的計劃是：Go 缺乏一種 CLI 來根據 Go 校驗和數據庫驗證本地軟件源。在 go mod verify 中添加一個 tag 命令參數，將會根據 sumdb 檢查本地 git tag，可以幫助模塊作者確保其內容未被篡改。

這可以防止有人通過強行推送的方式訪問 GitHub、GitHub 本身，甚至 Google，在未經授權的情況下修改模塊內容。”

其建議添加一個 -tag 標志符，支持以下幾個參數值：

未來該項提案發布后，這通常將用于 Go 應用程序發布打標簽的過程。

例如：

git tag v1.2.3
git push --tags
# Verify that our local v1.2.3 tag matches sumdb.
go mod verify -tag v1.2.3

本文提及的新提案，相信大家很快就能看到。目前提案已經 Accepted。這意味著如果沒有意外，將會在 Go1.25 新特性中能夠看到：

圖片

后續我們將可以借助該新特性： go mod verify -tag vx.x.x 這一個新的命令參數，其會根據根據 sumdb 檢查本地 git tag，確保 Go 項目所引用的模塊的內容未被篡改。為我們的安全進一步保駕護航。

[1] cmd/go: go mod verify should check hashes in go.sum against GOSUMDB: https://github.com/golang/go/issues/47752

[2] cmd/go: add go mod verify -tag: https://github.com/golang/go/issues/68669

責任編輯：武曉燕來源：腦子進煎魚了