go mod why失效时，如何排查Go项目的依赖来源？

当go mod why无法定位漏洞依赖的引入路径时，可以用以下几种方法溯源：

1. 用go mod graph手动追踪依赖链 #

go mod graph会输出所有模块的依赖关系（格式为模块A 模块B，表示A依赖B）。你可以通过过滤目标模块来定位上层依赖：

go mod graph | grep <target_package>

找到直接依赖目标模块的上层模块后，继续过滤上层模块的来源，逐层回溯直到根模块。比如你的示例中，golang.org/x/net是被dev.azure.com/company/modules/_git/testproto.git直接引入的，说明这个根模块的go.mod里声明了该依赖，或是其依赖的子模块间接引入。

2. 用go list分析包级依赖 #

通过go list可以查看项目的包依赖细节：

• 查看所有模块的元信息，从中找目标模块的依赖关联：

  go list -m -json all
  

• 查看当前项目所有直接引用的包，间接关联到目标模块：

  go list -f '{{.Deps}}' ./... | grep <target_package>
  

3. 借助第三方依赖可视化工具 #

像deptree（你示例中已使用）、godepgraph这类工具可以生成结构化或可视化的依赖树，更直观展示依赖引入路径。安装后直接运行：

go mod graph | deptree -d <深度>

从输出的层级结构里，能快速定位目标模块的上游依赖节点。

内容的提问来源于stack exchange，提问作者Milos