📝
Golangで依存パッケージの脆弱性を調査するならNancyがおすすめ
概要
- Goで使用する外部パッケージが安全かどうかを調べる時にオススメなのが、nancyです。
- ちなみにnancyとは、Sonatype OSS Indexを利用して、Golangの依存関係の脆弱性をチェックするツールです。
- nancyではdepまたはgo modの依存関係を調査してくれます。
導入方法
- install方法
> brew tap sonatype-nexus-community/tap
> brew install nancy
試す
- helpを見てみる
- 見てみると、引数にGopkg.lockまたは、go.sumのpathを指定してあげるようです。
❯ nancy --help
Usage:
nancy [options] </path/to/Gopkg.lock>
nancy [options] </path/to/go.sum>
Options:
-noColor
indicate output should not be colorized
-version
prints current nancy version
- 試しに、goのsample projectで試してみたいと思います。
- cloneしたsample => https://github.com/golang/example
❯ go list -m all | nancy go.sum
[1/3] golang/golang.org/x/mod@0.3.0 No known vulnerabilities against package/version...
[2/3] golang/golang.org/x/tools@0.0.0-20210112183307-1e6ecd4bf1b0 No known vulnerabilities against package/version...
[3/3] golang/golang.org/x/xerrors@0.0.0-20200804184101-5ec99f83aff1 No known vulnerabilities against package/version...
Audited dependencies: 3, Vulnerable: 0
Discussion