如何限制/阻止golangs go工具访问互联网

Question

我们最近将Golang引入了我工作的公司，用于一般用途，但我们在推出过程中遇到了一个障碍，因为Go可以使用go get命令从互联网上获取软件包。通常，当我们推出Java和Python时，我们能够通过将它们指向我们内部的artifactory来限制开发人员可以从何处提取包。

因此，使用Python，我们可以通过将pip命令更改为从内部人工工厂中提取，来更改它们的提取位置；使用Java，我们可以将它们的settings.xml和pom.xml更改为指向我们的内部包。

我知道在开发过程中，您可以获取依赖项并将其放入本地，然后将其编译成独立的二进制文件。我正在寻找的是一种机制，可以阻止人们走出去，从开放的互联网上拉出来。

Go中有这样的东西吗？我能阻止人们访问互联网和go get包吗？

任何帮助都将不胜感激。

Answer 1

这取决于您对“转出”的定义，但通常有三个阶段：

1. 开发-在这一点上，除了将开发机器置于限制性代理或类似的技术措施之后之外，您无法阻止任意的go get调用。
2. 部署-由于Go程序可以(应该)作为单个二进制文件部署，因此在deployment.
3. Building部署工件期间根本不使用go get -这可能是您的问题：

通常的方法是在构建Go程序时不获取依赖项。相反，依赖项是在开发期间获取的，并使用vendoring (例如，通过使用dep工具)使其成为源码树的一部分。

此时，构建步骤不再需要获取任何依赖项。现在，对允许哪些依赖项的选择成为流程其余部分的一部分，例如代码审查。