Nancy（Golang 依赖漏洞检测工具） 下载

简介

Nancy 是一款专为 Golang 开发者设计的依赖漏洞扫描工具，由 Sonatype 开源社区维护。它通过分析 `go list -json -deps ./...` 输出的依赖列表，与 Sonatype Guide 和 Sonatyp。（当前收录版本 2.1.1，适用 win/x64。）

详细介绍

Nancy 是 Sonatype 社区推出的一款开源命令行工具，专注于 Golang 依赖项的安全漏洞检测。它利用 Sonatype Guide（以及兼容的 Sonatype Lifecycle，即原 Nexus IQ Server）的漏洞数据，对 Go 项目的依赖树进行深度扫描，并输出详细的漏洞报告。 **核心功能**： - 依赖漏洞扫描：通过管道接收 `go list -json -deps ./...` 的 JSON 数据，自动解析并查询漏洞库。 - 双认证模式：支持 Sonatype Guide Bearer Token（推荐）和 OSS Index 凭据（已弃用），均可通过命令行参数或环境变量配置。 - 灵活的输出格式：支持多种输出方式，便于在终端或 CI 日志中查看结果。 - 排除漏洞：可配置忽略特定漏洞，减少误报干扰。 - 自定义服务器：支持指定 Sonatype Guide 自定义服务器 URL，适用于企业内网环境。 - 最大输入限制：可设置扫描依赖列表的最大大小，避免超限。 **使用场景**： - 开发阶段：在本地开发时快速检查依赖安全性。 - CI/CD 集成：作为流水线中的一个步骤，在构建或测试前自动扫描，阻止含漏洞的依赖进入生产。 - 安全审计：对现有项目进行依赖安全基线检查。 **支持平台**： - 提供 Windows x64 便携版（zip 包），同时支持通过源码构建或 Homebrew（macOS）安装，因此也适用于 Linux 和 macOS（需自行编译）。 **适用用户**：Golang 开发者、DevOps 工程师、安全团队、使用 Sonatype 生态的企业用户。

适合人群

• Golang 项目开发阶段依赖安全检查
• CI/CD 流水线中自动漏洞扫描
• 企业内网使用 Sonatype Lifecycle 的环境
• 需要快速评估依赖风险的个人开发者

安装教程

**环境要求**：Windows x64 系统（便携版），或可自行编译的 Linux/macOS 环境。需要已安装 Go 工具链（用于生成依赖列表）。

**安装步骤**：
1. 从本页下载 `nancy-v2.1.1-windows-amd64-portable-win-x64.zip` 文件。
2. 解压 zip 包，得到 `nancy.exe` 可执行文件。
3. 将 `nancy.exe` 所在目录添加到系统 PATH 环境变量，或直接将其复制到任意已加入 PATH 的目录（如 `C:\Windows\System32`）。
4. 打开命令提示符或 PowerShell，输入 `nancy --version` 验证安装成功。

**首次使用**：
1. 获取 Sonatype Guide 的 Bearer Token（免费注册于 guide.sonatype.com）。
2. 在项目根目录执行：`go list -json -deps ./... | nancy sleuth --guide-token YOUR_TOKEN`
3. 或设置环境变量 `GUIDE_TOKEN` 后直接运行 `go list -json -deps ./... | nancy sleuth`。

**注意事项**：
- 若使用 OSS Index 凭据，会显示弃用警告，建议尽快迁移到 Guide Token。
- 扫描依赖较多时，可调整最大输入大小参数。
- 在 CI 中建议设置超时和失败条件。

支持平台：Windows、Linux

版本与文件信息

• 版本：2.1.1
• 平台：win x64
• 文件名：nancy-v2.1.1-windows-amd64-portable-win-x64.zip
• 文件大小：99.0 MB
• SHA256：89b3f59b3ceb925910935cda0ac4063e6b72a593468fc3ffecd492f474549041

下载地址

• 开源地址：https://github.com/sonatype-nexus-community/nancy
• baidu网盘：https://pan.baidu.com/s/1XGGACYb8fsNMUdoAEfGNYA（提取码：v63z）

常见问题

• Nancy（Golang 依赖漏洞检测工具） 下载后无法安装怎么办？
  请确认系统满足 win 平台要求，并以管理员身份运行安装包；若提示缺少运行库，请先安装对应系统组件。
• 如何确认下载的文件是官方原版？
  通过页面上提供的 SHA256 校验值与官方公布值比对；一致即为官方原版，不一致请勿使用。
• Nancy（Golang 依赖漏洞检测工具） 有绿色版或便携版吗？
  是否提供便携版以官方发布页为准；本站仅收录官方公开下载与网盘镜像，不提供破解或修改版本。

核心功能

• 下载前展示真实文件名「nancy-v2.1.1-windows-amd64-portable-win-x64.zip」、版本 2.1.1、文件大小 103786216，以及适用平台 win/x64，便于逐项核对后再获取。
• 本站提供已校验的下载通道（baidu 网盘，提取码随页面展示），并保留官方站点入口作为备用来源。
• 能力覆盖：软件、Windows、开源，可按需选取对应功能模块。

使用场景

• 需要在本机部署或重装 Nancy（Golang 依赖漏洞检测工具）（2.1.1），并希望先核对版本与文件信息再获取的场景。
• 处理「Nancy（Golang 依赖漏洞检测工具）下载」相关需求、希望一次性拿到可核对文件与步骤时。
• 需要在多台设备使用同一 Nancy（Golang 依赖漏洞检测工具） 版本（2.1.1），便于统一环境与后续排查时。

注意事项

• 获取文件后请核对文件名「nancy-v2.1.1-windows-amd64-portable-win-x64.zip」与文件大小「103786216」是否与本页一致，避免拿到错误版本。
• 部署 Nancy（Golang 依赖漏洞检测工具） 时路径建议避免中文与空格，可减少部分写入失败的概率。
• 若安全软件出现拦截提示，请先确认来源为本页收录渠道后再决定是否放行。

安装与校验

• 获取前先核对文件名、文件大小与版本号（本页：nancy-v2.1.1-windows-amd64-portable-win-x64.zip / 103786216 / 2.1.1），逐项比对后再继续。
• 通过本页「baidu 网盘」通道转存到自己的网盘后再取回文件，可避免直接下载中断造成的文件不完整。
• 解压后先确认 Nancy（Golang 依赖漏洞检测工具） 主程序能否正常启动，再决定是否替换原有版本。
• 如遇安全软件拦截，请先确认来源为本页收录渠道，再决定是否放行。

国内网盘获取步骤

• 第 1 步：在本页下载区打开「baidu」通道，先核对页面标注的版本号 2.1.1、平台 win/x64，再进入分享页。
• 第 2 步：输入本页展示的提取码完成校验（提取码以本页下载区为准，不要从第三方来源获取）。
• 第 3 步：把文件转存到自己的「baidu」账号后再下载，避免分享链接失效或下载中断；若为压缩包，建议解压到 C:\\Tools 这类不含中文与空格的路径。
• 第 4 步：下载完成后核对文件名「nancy-v2.1.1-windows-amd64-portable-win-x64.zip」、文件大小「103786216」与版本号 2.1.1，与本页信息一致再安装或运行。