go.sum 文件用于记录依赖模块的校验和，确保下载代码的一致性与完整性。当执行 go build、go get 等命令时，Go 会下载依赖并计算其 zip 文件和 go.mod 的哈希值，与 go.sum 中已存记录比对，若不一致则报错“checksum mismatch”，阻止被篡改或污染的依赖投入使用。该机制在构建、获取依赖等场景中自动触发验证，保障项目依赖安全。建议将 go.sum 提交至版本控制，避免手动修改，必要时可通过 go mod tidy 更新或删除后重新下载生成。对于私有模块，可设置 GOPRIVATE 跳过校验。虽然不能完全防篡改，但 go.sum 是实现依赖可重现构建的关键基础机制。
Go 模块的 go.sum 文件用于记录每个依赖模块的特定版本校验和，确保每次下载的依赖代码保持一致，防止恶意篡改或意外变更。它在依赖验证中起着关键作用。
go.sum 的作用机制
当你运行 go mod download 或 go build 时，Go 会：
- 从模块代理或源仓库下载依赖模块
- 计算模块 zip 文件内容和其 go.mod 文件的哈希值
- 将这些哈希值写入 go.sum（如果尚未存在）
- 每次再次下载该版本时，比对实际哈希与 go.sum 中记录的一致性
如果不一致，Go 工具链会报错并拒绝使用该依赖，从而保障依赖完整性。
如何触发 go.sum 验证
Go 在以下操作中自动使用 go.sum 进行验证：
立即学习“go语言免费学习笔记（深入）”；
Investment Researcher Digital Employee
下载
覆盖宏观策略、固收研究、行业公司深度分析、量化因子、大类资产配置、可转债、市场情绪、政策快评、行业景气度追踪等34项核心研究能力，证券研究员的全能数字助手。
- go build：构建项目时检查所需模块是否被篡改
- go get：获取新依赖或升级版本时验证下载内容
- go list：列出依赖时也会触发模块下载和校验
例如执行：
go build如果某个依赖模块的 zip 哈希与 go.sum 中记录不符，你会看到类似错误：
checksum mismatch这说明依赖内容发生了变化，可能是网络劫持、缓存污染或人为修改。
维护 go.sum 的建议
- 始终提交 go.sum 到版本控制系统（如 Git），保证团队成员使用一致且可验证的依赖
- 不要手动编辑 go.sum，应通过 go mod tidy 或重新触发下载来更新
- 若怀疑 go.sum 被污染，可删除后运行 go mod download 重新生成
- 使用私有模块时，可通过 GOPRIVATE 环境变量跳过校验（仅限可信环境）
基本上就这些。go.sum 不是防篡改的终极方案，但它是 Go 生态中保障依赖可重现性和安全性的基础机制。只要正常使用 Go 模块命令，验证就会自动发生，无需额外配置。
