go.sum 文件用于记录依赖模块的确定性哈希值，Go 工具链默认校验以确保内容一致性；删除后会重新生成，但可能导致不可重现构建、校验失效或协作不一致。
go.sum 文件的作用不是“可有可无”的校验文件
go.sum 记录了每个依赖模块的确定性哈希值（h1: 开头的 SHA-256），Go 工具链在 go build、go run、go get 等操作中会默认校验这些哈希，确保下载的模块内容与首次拉取时完全一致。删掉它，不等于关闭校验——而是让 Go 在下次操作时重新生成，且可能因网络/镜像源差异引入意外变更。
删除 go.sum 后会发生什么
执行 go mod tidy 或任何触发依赖解析的命令时，Go 会重新下载所有依赖并计算新哈希写入 go.sum。这看似“无害”，但实际风险集中在以下几点：
- 如果某依赖已从原始源移除，而代理（如
proxy.golang.org）缓存了旧版本，新生成的go.sum可能对应一个你从未验证过的二进制内容 - 团队协作中，不同人删了再重生成，
go.sum行序、空行、甚至部分间接依赖的哈希可能不一致，导致git diff噪声大，也掩盖真实变更 - CI 环境若未缓存
go.sum，每次构建都重新生成，失去可重现构建（reproducible build）保障
哪些情况可以安全删掉 go.sum
极少数场景下删是合理操作，但必须配合明确动作：
- 刚初始化项目、尚未运行过
go mod tidy，go.sum为空或不存在 → 直接忽略，无需手动删 - 想强制刷新全部依赖哈希（例如怀疑本地
go.sum被篡改）→ 先删go.sum，再运行go mod download -x观察下载源和哈希生成过程 - 切换到全新 module proxy（如从官方源切到私有 Nexus）→ 删
go.sum+ 清空$GOPATH/pkg/mod/cache，避免混合校验
go.sum 校验失败时该看哪几行错误
典型报错形如：
verifying github.com/sirupsen/logrus@v1.9.3: checksum mismatch downloaded: h1:8F4f0yKQsZTQ3BwZGmL7bUuVvDqkXJzYtXjzYtXjzY= go.sum: h1:abc123...=
关键信息就三处：
- 第一行指出哪个模块、哪个版本出问题
-
downloaded:是当前实际下载内容的哈希（Go 刚算出来的） -
go.sum:是文件里记录的旧哈希（可能是被污染、或 proxy 返回了不同包）
此时不要直接删 go.sum，先用 go mod download -json github.com/sirupsen/logrus@v1.9.3 查看实际下载路径；再检查 GO_PROXY 是否指向可信源；最后确认该版本是否真在官方 tag 列表里（git ls-remote -t https://github.com/sirupsen/logrus | grep v1.9.3）。
真正麻烦的从来不是删不删 go.sum，而是删完之后没人再核对新哈希是否来自预期源 —— 尤其当 replace 或 exclude 存在时，校验逻辑会绕过部分路径，这种隐式失效最难排查。
