Go依赖管理核心是go.mod文件与语义化版本规则，通过go get@指定版本仅提出请求，实际生效需结合已有约束、标签存在性及go mod tidy清理；replace仅为临时调试手段，不可替代版本管理。
Go 项目中依赖版本管理的核心是 go.mod 文件 + 语义化版本规则，不是靠手动复制包或切换 GOPATH。只要用对 go mod 命令、理解 @ 后缀含义、避开 replace 滥用，就能稳定锁定不同版本。
go get @vX.Y.Z 为什么没生效
写 go get github.com/sirupsen/logrus@v1.9.3 并不等于“强制设为这个版本”，它只是告诉 Go：“我要这个版本，你看着办”。实际行为取决于当前 go.mod 中已有的约束：
- 如果已有
github.com/sirupsen/logrus v2.0.0+incompatible，Go 会拒绝降级，报错version "v1.9.3" is lower than current version - 如果该 tag 在 proxy（如
https://proxy.golang.org）里不存在或未缓存，Go 会 fallback 到latest并只 warn，不 abort -
@v1.9.3是语义化版本请求，但若仓库没打规范 tag（比如只有 commit 或 branch），Go 无法解析
真正生效的做法：
- 先删掉旧 require 行（或用
go mod edit -droprequire=...） - 再执行
go get github.com/sirupsen/logrus@v1.9.3，或更稳妥地：go mod edit -require=github.com/sirupsen/logrus@v1.9.3+go mod tidy - 验证：
go list -m github.com/sirupsen/logrus应输出v1.9.3
如何让两个间接依赖共存不同版本
Go Modules 默认不允许同一模块多个主版本（如 v1.9.3 和 v2.0.0）共存，除非它们被识别为不同模块路径（例如 github.com/sirupsen/logrus vs github.com/sirupsen/logrus/v2）。但你可以让 A 依赖 v1.9.3、B 依赖 v2.1.0，前提是：
- B 的 import 路径明确指向
/v2子路径（即代码里写的是import "github.com/sirupsen/logrus/v2"） -
go.mod中必须同时存在两行require：github.com/sirupsen/logrus v1.9.3和github.com/sirupsen/logrus/v2 v2.1.0 - 不能靠
replace把/v2映射回根路径，否则破坏模块隔离，go.sum校验会失败
注意：没有 /v2 路径的模块（即 +incompatible）无法与兼容版本共存，Go 会统一选一个——通常是最高版本。
go.sum 变动意味着什么，能删吗
go.sum 不是“锁文件”，而是每个依赖模块内容的 SHA256 校验和快照。它变动通常说明：
- 你换了代理源（比如从官方 proxy 切到
goproxy.cn），同一 tag 对应的 zip 包哈希值可能不同 - 上游强制重写了 tag（极不推荐，但真实发生过），导致哈希不匹配
- 本地
vendor/被手动改过，而go mod tidy重新计算了校验和
go.sum 绝对不能手动删或清空。删了会导致后续 go build 失败（报 missing go.sum entry），CI 环境尤其敏感。唯一安全操作是：go mod download 后让它自动生成，或 go mod verify 确认完整性。
replace 是临时方案，不是版本管理手段
replace 的唯一合理用途是：调试自己 fork 的分支、验证尚未合并的 PR、或绕过因私有证书/网络策略无法拉取的模块。但它有硬伤：
- 它让 Go 跳过
go.sum校验，失去防篡改能力 - 它影响整个模块树——哪怕另一个依赖也 import 同一包，也会被统一替换
- 它不能解决“多版本共存”问题，反而掩盖真实依赖关系，让
go list -m all输出失真
如果你发现必须长期用 replace 才能跑通，大概率是模块路径定义错误、vendor 未启用、或该依赖本身没遵循 SemVer。此时该修的是依赖源，不是你的 go.mod。
最易被忽略的一点：Go 不会自动感知代码里删掉的 import。即使你把某包的 import 全删了，go.mod 里那行 require 还在，go.sum 也还记着它。必须显式运行 go mod tidy 才会清理——而且它只删“未被任何 import 引用”的包，不会碰间接依赖，除非你确认它真的彻底不用了。
