脆弱で悪意のある依存関係を見つける

大規模で複雑なプロジェクトには通常、共通のライブラリやフレームワークの機能を拡張することで生産性を高める、複数のサードパーティ依存関係があります。

ただし、サードパーティのコードに依存すると、脆弱な依存関係がプロジェクトで使われることにより、セキュリティ上の懸念が生じます。

バンドルされている GoLand パッケージチェッカープラグインは https://www.mend.io/ によって提供されています。プラグインは既知の脆弱性について依存関係を分析します。脆弱な依存関係の情報を取得し、最新のリリースバージョンに更新することで、そのようなケースを処理できます。

脆弱性のある依存関係

エディターで go.mod を開きます。
IDE は脆弱であると見なされる依存関係をハイライトします。
ハイライト表示された依存関係にキャレットを置き、 Alt+Enter を押すと、提案された修正が表示されます。安全なバージョンへのアップデート、 Mend.io(英語) Web サイトにアクセスして特定の脆弱性の詳細を確認する、または脆弱性を無視することが提案される場合があります。

GoLand は、既知のセキュリティ問題のあるパッケージからのインポートを go.mod ファイルだけでなく、通常の Go ファイルでもハイライトできるようになりました。

ハイライトされたインポートにマウスを移動すると、セキュリティの問題に関する情報が表示されます。
依存関係の宣言に移動するリンクをクリックします。または、ハイライトされた依存関係をクリックし、 Alt+Enter を押して依存関係の宣言に移動するを選択します。

さらに、インスペクションを実行して、プロジェクトで宣言およびインポートされたすべての脆弱性のある依存関係のリストを表示できます。

結果は、問題ツールウィンドウ (表示 | Tool Windows | 問題または Alt+6) の脆弱性のある依存関係タブに表示されます。

それぞれの脆弱性について、重大度の指標を確認できます。特定の依存関係をクリックすると、その依存関係で見つかった脆弱性に関する詳細情報が表示されます。

無視された脆弱性は、インスペクション設定のリストに追加されます。必要に応じて、このリストを含むプロファイルをチームの他のメンバーと共有できます。

エディターで go.mod を開き、ハイライトされた依存関係にキャレットを置いて、 Alt+Enter を押します。
提案のリストから脆弱な <dependency name and version> を無視するを選択し、開いたダイアログで依存関係を無視する理由を選択します。無視をクリックします。

無視された脆弱性のリストにアクセスするには、 Ctrl+Alt+S を押して IDE 設定を開き、エディター | インスペクションを選択します。セキュリティノードを展開し、脆弱な宣言済みの依存関係をクリックします。このリストは、インスペクションの詳細のオプションセクションにあります。

コンピューター間でプロファイルを同期するからインスペクションプロファイルを共有する方法を学びます。

脆弱と特定された依存関係が安全であると思う場合は、誤検知として報告できます。

問題ツールウィンドウ (表示 | Tool Windows | 問題または Alt+6) の脆弱性のある依存関係タブで依存関係をクリックして、その説明を開きます。
報告する脆弱性を見つけて、「誤検知の報告」をクリックします。
確認の通知が表示されます。

パッケージチェッカープラグインには、プロジェクトで宣言された悪意のある NPM および PyPI 依存関係を検出する悪意のある依存関係インスペクションが搭載されています。報告された問題を修正することで、攻撃者によるソフトウェアの侵害を防止できます。

検出された依存関係を削除することをお勧めします。悪意のある依存関係データは Mend.io(英語) によって提供されています。

設定で、セキュリティインスペクションの重大度を変更したり、有効化 / 無効化したり、問題のハイライトを構成したりできます。

Ctrl+Alt+S を押して設定を開き、エディター | インスペクションを選択します。
右側のオプションから、セキュリティノードを選択し、インスペクションの名前を選択します。
必要に応じて、重大度、範囲、ハイライトを変更します。「OK 」をクリックして変更を保存します。

2026 年 5 月 22 日