Go 1.6 起默认启用 vendor 机制，通过项目根目录下的 vendor/ 文件夹实现本地化依赖管理，但 Go 工具链本身不提供自动填充 vendor 的命令，需借助第三方工具（如 Godep、gvt）完成依赖捕获与锁定。
go 1.6 起默认启用 vendor 机制，通过项目根目录下的 `vendor/` 文件夹实现本地化依赖管理，但 go 工具链本身不提供自动填充 vendor 的命令，需借助第三方工具（如 godep、gvt）完成依赖捕获与锁定。
Go 的 vendor 机制是官方为解决依赖版本隔离与构建可重现性而引入的关键特性。自 Go 1.5 起以 -gcflags="-l" 等实验性支持开启，至 Go 1.6 正式默认启用：当执行 go build、go test 或 go run 等命令时，Go 工具链会优先从当前项目根目录下的 vendor/ 子目录中查找依赖包，仅在 vendor/ 中未命中时才回退至 $GOPATH/src。这一行为无需额外配置，完全由目录结构驱动。
值得注意的是：Go 原生命令（如 go get）不会自动创建或更新 vendor/ 目录。go get github.com/some/pkg 仍只会将包下载到 $GOPATH/src，而不会复制进 vendor/。要实现类似 npm install --save 或 apt install 的“声明式依赖管理”，你必须借助社区成熟的 vendoring 工具。
以下是一个典型工作流示例（以轻量级工具 gvt 为例）：
# 1. 安装 gvt（需先确保 GOPATH/bin 在 PATH 中） go get -u github.com/FiloSottile/gvt # 2. 初始化 vendor 目录（在项目根目录执行） gvt init # 3. 添加指定版本的依赖（自动下载并锁定 commit hash） gvt fetch github.com/stretchr/testify@v1.8.4 # 4. 构建时自动使用 vendor 中的依赖 go build .
生成的 vendor/ 结构如下：
myproject/ ├── main.go ├── vendor/ │ ├── github.com/stretchr/testify/ │ │ ├── assert/ │ │ └── require/ │ └── vendor.json # gvt 自动生成的依赖清单与版本快照
⚠️ 重要注意事项：
- vendor/ 必须位于 main package 所在目录的根路径下（即 go list -f '{{.Dir}}' 输出的路径），嵌套过深将导致 vendor 失效；
- 不同工具（Godep、govendor、dep、gvt）生成的 vendor 格式与元数据文件（如 Godeps/Godeps.json、vendor/vendor.json）互不兼容，团队应统一工具链；
- Go 1.11+ 引入了更现代的 Go Modules（go mod），已逐步取代 vendor 成为主流方案；但在维护旧版 Go（<1.11）项目或要求零 $GOPATH 构建场景中，vendor 仍是可靠选择。
简言之：vendor 是 Go 依赖隔离的基石能力，但“如何管理 vendor”需靠生态工具补足。理解其查找逻辑、掌握一两个主流 vendoring 工具，并明确其与 Go Modules 的演进关系，是构建稳定 Go 工程的关键一步。
