Go项目稳定性依赖go.mod+go.sum+go get精准控制，禁用手动改go.mod；推荐go get@tag拉取确定版本，go.sum仅校验不锁间接依赖，CI须校验其变更，GOPROXY需禁fallback，GOSUMDB不可关闭。
Go 项目稳定性不靠“手动锁版本”，而靠 go.mod 文件 + go.sum 校验 + 明确的 go get 行为控制。直接修改 go.mod 手动写版本号是危险操作，容易被后续命令覆盖。
用 go get 精确拉取指定版本依赖
Go 不支持像 npm install xxx@1.2.3 那样在命令行直接带版本后缀（除非用 @ 语法），但 go get 支持通过 @ 指定 commit、tag 或 branch：
-
go get github.com/sirupsen/logrus@v1.9.3—— 拉取确切 tag，最推荐 -
go get github.com/sirupsen/logrus@8b653e7—— 拉取特定 commit，适合临时修复未发版的问题 -
go get github.com/sirupsen/logrus@master—— 不推荐，master 可能随时变，破坏可重现性
执行后，go.mod 中会更新 require 行，go.sum 自动追加校验和。注意：如果模块已存在且版本更高，go get 默认不会降级 —— 需加 -u=patch 或手动编辑 go.mod 后运行 go mod tidy。
理解 go.sum 不是“锁文件”，而是校验快照
go.sum 记录每个模块版本对应的 h1: 校验和，用于验证下载内容是否被篡改或污染。它不是用来“锁定间接依赖”的工具 —— 那是 go.mod 的 require 和 exclude 的职责。
立即学习“go语言免费学习笔记（深入）”；
- 删掉
go.sum后运行go build，Go 会重新生成它，但前提是所有require版本已固定 - 若某依赖的子依赖在不同机器上解析出不同版本（比如未显式 require 的间接依赖），说明
go.mod缺少约束，应运行go mod graph | grep定位并require显式声明 - CI 中务必校验
go.sum是否变更：若没变，说明依赖图确定；若变了，代表有新版本被自动引入，需审查
禁止自动升级：关掉 GOPROXY 的“兜底”行为
默认 GOPROXY（如 https://proxy.golang.org）在找不到指定版本时，可能 fallback 到 direct 并拉取最新版 —— 这会绕过你写的版本号。必须显式禁用 fallback：
export GOPROXY=https://proxy.golang.org,direct export GONOSUMDB=*.corp.example.com # 若用私有模块，跳过 sumdb 校验（仅限可信内网）
更安全的做法是在项目根目录放 .env 或 CI 脚本中硬编码：
-
GOPROXY=https://goproxy.cn,direct（国内推荐，响应快且支持direct回退控制） - 永远不要设
GOPROXY=direct—— 失去代理缓存和校验，网络波动或模块源下线会导致构建失败 - 设
GOSUMDB=off是高危操作，仅调试用；生产环境必须保留GOSUMDB（默认值即可）
真正影响稳定性的从来不是“能不能锁版本”，而是团队是否统一执行 go mod tidy、是否把 go.sum 提交进 Git、是否在 PR 中检查 go.mod 变更是否合理。一个没被 require 的间接依赖，哪怕 go.sum 里有它的记录，下次 go mod tidy 也可能被剔除 —— 所以，显式声明才是关键。
