Go 1.18起go mod是唯一推荐的包管理方式；需用go mod init初始化模块，依赖通过import+build或go get显式添加，go install命令必须带@version，go.sum须提交以保证构建可重现。
Go 1.18 之后，go mod 是唯一推荐且默认启用的包管理方式； GOPATH 模式和 go get（无 -m）直接安装到 $GOPATH/bin 的行为已被弃用，容易导致版本混乱或命令不可用。
如何初始化模块并声明依赖
在项目根目录执行 go mod init example.com/myapp，会生成 go.mod 文件。该命令不自动扫描源码，只创建基础声明；真正引入依赖需通过实际使用（如 import "github.com/gin-gonic/gin"）后运行 go build 或 go run，Go 会自动下载并记录到 go.mod 和 go.sum。
- 手动添加依赖可用
go get github.com/sirupsen/logrus@v1.9.3，指定版本时会写入go.mod并更新校验和 - 不带版本号（如
go get github.com/sirupsen/logrus）将拉取最新 tagged 版本，若无 tag 则用 latest commit，但该 commit 不稳定，不建议在生产环境直接使用 -
go get -u会升级现有依赖及其间接依赖，可能引入不兼容变更，应避免无差别使用
为什么 go install 有时找不到命令
从 Go 1.17 开始，go install path@version 是安装可执行命令的唯一标准方式，不再依赖 GOBIN 或 $GOPATH/bin 的隐式路径。常见错误包括：
- 执行
go install github.com/golangci/golangci-lint/cmd/golangci-lint@latest后仍提示command not found：检查$GOBIN是否在$PATH中，或确认是否用了go install（不是go get） - 省略
@version（如go install github.com/golangci/golangci-lint/cmd/golangci-lint）会报错invalid version: cannot find module providing package，必须显式指定版本 - 模块未发布 tag（只有 main 分支提交），需用
@master或@commit-hash，但这类安装不具备可复现性
如何安全更新依赖并锁定间接依赖
go.mod 中的 require 只列出直接依赖，go.sum 才完整记录所有依赖（含间接）的校验和。要确保构建可重现，必须提交 go.sum。
立即学习“go语言免费学习笔记（深入）”；
- 更新单个依赖并保持其他不变：先
go get example.com/lib@v2.1.0，再go mod tidy清理未引用项、补全缺失间接依赖 - 升级整个依赖图中所有可升级项（含间接依赖）：用
go get -u ./...，但风险高，建议配合git diff go.mod审查变更 - 降级某个间接依赖？不能直接
go get它——它不在require中。需先让某直接依赖“暴露”它（如升级该直接依赖），或使用replace临时覆盖：replace golang.org/x/net => golang.org/x/net v0.14.0
模块代理（GOPROXY）和校验和数据库（GOSUMDB）不是可选项，而是保障依赖来源可信与一致的关键机制；跳过它们（如设 GOPROXY=direct GOSUMDB=off）只应在离线调试或私有仓库不可达时临时使用，切勿纳入 CI 或团队开发流程。
