GOSUMDB校验失败主因是sum.golang.org访问受阻，应优先配置官方中国镜像sum.golang.google.cn；禁用GOSUMDB=off会放弃依赖完整性保护，仅限极特殊场景谨慎使用。
Go modules 依赖校验失败：GOSUMDB 拒绝签名或返回 403
当 go get 或 go build 报类似 verifying github.com/some/pkg@v1.2.3: checksum mismatch 或直接卡在 fetching sum.golang.org/lookup/... 并返回 403，大概率是 GOSUMDB 校验链路被干扰——不是模块本身坏了，而是 Go 默认信任的校验和数据库（sum.golang.org）无法访问或被中间设备篡改响应。
- 国内常见原因：运营商 DNS 污染导致
sum.golang.org解析到错误 IP；企业防火墙主动拦截或重写 HTTPS 响应；代理配置未覆盖sum.golang.org - 别急着关
GOSUMDB=off—— 这等于放弃所有依赖完整性保护，下次拉到恶意包就不是报错而是上线出事 - 优先尝试设置可信镜像：运行
go env -w GOSUMDB=sum.golang.google.cn（官方中国镜像，HTTPS 可信，无需额外证书） - 若仍失败，检查是否误设了
GOINSECURE或GOPROXY泄露了私有域名到公共代理（比如GOPROXY=https://goproxy.io,direct会让sum.golang.org请求也走 proxy，而它不接受代理）
GOSUMDB=off 不是临时方案，是安全退化行为
设 GOSUMDB=off 后，go 不再比对 go.sum 中记录的哈希与远程模块实际内容，只信任本地 go.sum 文件——但这个文件本身可能已被污染、未更新、或压根没提交到仓库。
- CI/CD 流水线里设
GOSUMDB=off等同于关闭供应链审计，一旦某次go mod download拿到的是被劫持的包，后续所有构建都继承风险 -
go.sum不是“锁文件”而是“校验快照”，它不阻止升级，只确保每次下载的内容和首次记录一致；关掉它，连这种基础一致性都放弃了 - 真要绕过（如调试私有不可达模块），用
go get -insecure配合GOINSECURE=example.com更精准，且仅限指定域名
自建 sumdb 镜像？先看清 Go 官方限制
Go 官方明确不支持第三方运营公开 sum.golang.org 镜像——因为校验和数据库必须由 Go 团队用私钥签名，客户端通过硬编码公钥验证响应。你搭个 HTTP 服务返回哈希，go 工具链根本不会信。
-
GOSUMDB的值格式是name[+https://url]，例如sum.golang.org+https://sum.golang.org；其中name决定用哪把公钥验签，url只是请求地址 - 想用内网部署，唯一合法路径是：申请 Go 团队授权使用其签名密钥（几乎不开放），或接受离线模式（
GOSUMDB=off+ 人工审计go.sum） - 某些文档提的 “自建 sumdb” 实际是缓存代理（如
athens），它不提供校验和，只是加速下载；校验仍需回源sum.golang.org，所以不能解决访问问题
go.sum 文件被修改后为什么没报错？
go 工具只在校验阶段（go build、go test、go list -m 等）检查 go.sum 与实际模块哈希是否匹配，但不会主动校验 go.sum 文件自身是否被篡改——它假设你信任自己的磁盘。
立即学习“go语言免费学习笔记（深入）”；
- 如果有人偷偷改了
go.sum里的哈希值，让恶意包“看起来合法”，下一次go build就会静默通过 - 防范方法只有两个：把
go.sum提交进 Git，并开启 CI 检查其变更是否合理（比如是否对应真实的go mod tidy输出）；或用git fsck类工具监控文件完整性 -
go mod verify可手动触发全量校验，但它不报告go.sum是否被删改，只报告“当前模块内容 vs go.sum 记录是否一致”
