Go 不会读 .netrc 文件；其模块下载器完全不解析该文件，导致私有仓库认证失败，需通过 GOPRIVATE 配合 Git credential.helper 或带认证的 GOPROXY 解决。
Go 会读 .netrc 吗？
不会。Go 的 go get 和模块下载器（go mod download）完全不解析或使用 .netrc 文件。这是很多人踩坑的起点——把 Git 的认证方式直接套到 Go 模块上，结果私有仓库拉不下来，还报一堆 unauthorized 或 401 错误。
根本原因：Go 模块代理协议（https://proxy.golang.org）和直接 VCS 拉取走的是两套路径，且 Go 官方工具链不集成任何凭据管理器（包括 .netrc、Git credential helper 等），除非你显式配置。
替代方案：用 GOPRIVATE + git config credential.helper
Go 不读 .netrc，但 Git 会。只要 Go 下载私有模块时最终落到 git clone 这一步（比如 go get git.example.com/org/repo），它就会调用系统 Git 命令，而 Git 可以通过 credential.helper 自动注入 token 或密码。
必须同时满足三个条件：
立即学习“go语言免费学习笔记（深入）”；
-
GOPRIVATE=git.example.com/*（告诉 Go 别走代理，直连） -
git config --global credential.helper store（或osxkeychain/wincred） - 手动执行一次
git clone https://git.example.com/org/repo，输入账号密码或 token，Git 会存进凭据库
之后 go get 就能复用这个凭据。注意：如果用的是 GitHub/GitLab 的 personal access token，用户名填 git 或任意非空字符串，密码填 token —— 这是 GitLab 和 GitHub API 的要求。
更可靠的方式：用 GOPROXY + auth-aware proxy
如果你控制私有仓库（如 Gitea、GitLab Self-Managed），推荐绕过 Git 凭据，改用支持 Basic Auth 的模块代理。Go 1.13+ 允许在 GOPROXY 中嵌入凭证：
export GOPROXY="https://token:abc123@git.example.com/goproxy"
这要求你的代理服务（比如自建的 athens 或 goproxy.io 兼容实现）能从 HTTP Basic Auth 头里提取 token，并透传给后端 Git 请求。好处是不依赖本地 Git 配置，CI/CD 环境更稳定。
常见错误：
- 把 token 直接写进
GOPROXYURL 却没配好代理服务端，导致 403 或 404 - 用
https://user:pass@...但仓库实际需要 OAuth2 Bearer，此时应换用~/.netrc配合 Git（仅限 Git 拉取路径） -
GOPRIVATE值漏了子域名，比如设成example.com，但仓库地址是git.example.com—— 必须精确匹配或用通配符
为什么不用 .netrc + GIT_ASKPASS？
技术上可行，但极不推荐。你可以写一个简单的 GIT_ASKPASS 脚本去读 .netrc，再让 Git 调用它。但问题在于：
- Go 不保证每次都会触发 Git 的交互式凭据流程（尤其在模块缓存命中时）
-
.netrc权限必须是600，否则 Git 忽略；很多 CI 环境默认不满足 - 不同 Git 版本对
.netrc的字段解析不一致（比如machinevsdefault）
真正要靠 .netrc，只建议用于纯 Git 操作（git clone），别强加给 Go 工具链。
最易被忽略的一点：Go 模块校验失败（checksum mismatch）有时也源于认证失败后返回了 HTML 登录页，而不是 401 —— 此时 Go 会把它当合法响应缓存并校验出错。务必确认私有仓库返回的是标准 HTTP 错误码，而不是重定向到登录页。
