Go 1.6 原生支持 vendoring，go build 等命令会优先查找项目根目录下的 ./vendor/，再回退到 $GOPATH/src；手动复制依赖或借助 godep/govendor 等工具均可实现精准版本控制，关键在于理解路径解析顺序与按需锁定策略。

go 1.6 原生支持 vendoring，`go build` 等命令会优先查找项目根目录下的 `./vendor/`，再回退到 `$gopath/src`；手动复制依赖或借助 `godep`/`govendor` 等工具均可实现精准版本控制，关键在于理解路径解析顺序与按需锁定策略。

Go 1.6 是 Go 语言首次将 vendoring 机制正式纳入官方工具链 的版本。这意味着你无需额外启用 flag（如 -u 或实验性环境变量），只要项目中存在符合规范的 vendor/ 目录，go build、go run、go test 等命令便会自动优先从 ./vendor/ 加载依赖，而非默认的 $GOPATH/src。其内部依赖查找路径严格遵循以下优先级顺序：

./vendor/github.com/zenazn/goji  
$GOPATH/src/github.com/zenazn/goji  
$GOROOT/src/github.com/zenazn/goji

因此，go get 命令本身不会自动填充 vendor/ 目录——它始终将包安装到 $GOPATH/src，这是设计使然。要让项目真正使用 vendor，你必须显式地将所需依赖复制到 ./vendor/ 下的对应路径中。

✅ 正确初始化 vendor 的两种方式

方式一：手动复制（适合简单、少量依赖）

假设你已通过 go get github.com/zenazn/goji 将依赖安装到了 $GOPATH/src/github.com/zenazn/goji，现在希望项目 ou 使用该依赖的特定版本：

# 进入项目根目录（即包含 main.go 和 vendor/ 的目录）
cd $GOPATH/src/ou

# 创建 vendor 路径并复制依赖（保持完整导入路径）
mkdir -p vendor/github.com/zenazn/goji
cp -r $GOPATH/src/github.com/zenazn/goji/* vendor/github.com/zenazn/goji/

此时运行 go build 即会自动使用 vendor/github.com/zenazn/goji 中的代码，完全隔离 $GOPATH/src 中的其他版本。

⚠️ 注意：vendor.json 文件（如示例中所示）并非 Go 官方识别的格式，Go 1.6 自身不读取或解析它。该文件仅对某些第三方工具（如 govendor）有意义，不能替代实际文件复制。

方式二：使用依赖管理工具（推荐用于中大型项目）

为避免手动维护路径和版本的繁琐，建议使用兼容 Go 1.6 vendor 标准的工具：

• godep（最成熟稳定）

  # 在 $GOPATH/src/ou/ 目录下执行
  godep save ./...

  该命令会分析当前项目所有 import 语句，递归扫描依赖树，并将 $GOPATH/src 中已存在的对应包按当前 HEAD 提交（或 Godeps/Godeps.json 指定版本）精确复制到 ./vendor/。

• govendor（支持更细粒度控制）

  govendor init
  govendor add +external  # 添加所有外部依赖
  govendor fetch github.com/zenazn/goji@v0.9.0  # 指定版本拉取

两者均生成标准 vendor 目录结构，可被 Go 1.6+ 原生识别，且支持 git commit 进行版本锁定。

? 关键实践建议：按需 vendor，而非全量冻结

盲目执行 godep save ./... 将所有依赖“一刀切”锁死，虽保障构建一致性，却可能带来长期维护成本：例如 MySQL 驱动、测试框架等高频更新组件若被冻结，将错过安全修复与性能优化。

更合理的策略是：
✅ 只 vendor 那些确实存在问题的依赖（如某次升级导致 panic 或行为变更）；
✅ 其余依赖仍通过 go get -u ./... 保持更新；
✅ 在 vendor/ 中仅保留 github.com/broken-lib/broken 这类明确需降级/固定版本的包。

这样既保证了关键依赖的稳定性，又享受了生态演进的红利，真正发挥 Go vendor 机制“精准隔离”的设计初衷。

最后提醒：Go 1.6 的 vendor 是纯路径优先级机制，不涉及版本解析或语义化约束。若需强版本控制与依赖图管理，请升级至 Go Modules（Go 1.11+），但对 Go 1.6 环境，理解 ./vendor/ 的加载逻辑 + 合理选择工具，已足以支撑稳健的工程化交付。