Go Modules是官方唯一推荐的依赖管理机制，通过go.mod和go.sum实现版本锁定、构建可重现与安全校验；必须用带域名的module path初始化，且需立即执行go mod tidy确保依赖完整。
Go Modules 是当前唯一被官方支持的依赖管理机制，不启用它等于退回 GOPATH 时代——构建不可重现、协作时版本错乱、CI 频繁失败。
go mod init 必须指定带域名的 module path
直接在项目根目录运行 go mod init 不带参数，或只写 go mod init myproject，会导致 go.mod 中生成裸名 module myproject。这会让其他项目无法正确 import 你，也会让 go get 在解析私有仓库或语义化版本时失败。
- 公开项目：用
go mod init github.com/username/repo - GitLab 自建实例：用
go mod init gitlab.example.com/group/project - 本地开发暂无远程地址：至少用
go mod init example.com/myproject，绝不能是纯名称 - 模块名一旦写入
go.mod就不该随意改——已发布的依赖会因路径变更而失效
go get 添加依赖后 go.mod 没更新或版本不对
go get 在 Go 1.16+ 默认只更新 go.mod，不下载源码、不校验 go.sum，也不触发 vendor 同步。常见现象包括 // indirect 标记异常、go list -m all 显示版本与预期不符。
- 加依赖时显式指定版本更可控：
go get github.com/sirupsen/logrus@v1.9.3 - 升级已有依赖：先删
go.sum中对应行（或整个文件），再执行go get -u=patch github.com/sirupsen/logrus - 最终必须跑
go mod tidy：它会补全缺失的 require、删掉未使用的项、重写go.sum，是唯一能保证go.mod与代码 import 严格一致的命令
go.sum 校验失败或私有仓库拉取卡住
go.sum 是所有依赖（含间接依赖）的校验和快照，不是可选文件。私有仓库若用 SSH 地址（如 git@github.com:org/repo），go mod download 会直接调用 git clone，若本地 git 命令无法认证或证书不受信，就会卡住或报 x509 certificate signed by unknown authority。
立即学习“go语言免费学习笔记（深入）”；
- 不要手动编辑
go.sum；校验失败时优先运行go clean -modcache清理缓存再重试 - 私有仓库需配置
GOPRIVATE（如export GOPRIVATE="gitlab.example.com/*"），否则 Go 仍会尝试走代理校验 - 若用 SSH，确保
ssh -T git@gitlab.example.com能通；若用 HTTPS，检查系统证书是否过期或被中间人替换
模块路径命名、go mod tidy 的扫描逻辑、go.sum 的校验触发时机——这三个点最容易被忽略，但恰恰决定一个 Go 项目能否被别人可靠引用、能否在 CI 中稳定构建。
