Go依赖版本由MVS算法自动选择满足所有约束的最低兼容版本，require声明下限而非锁定版本；go mod tidy重算依赖图并更新go.mod/go.sum；replace和exclude显式干预MVS；go.sum仅校验完整性，不锁定版本。
Go 的依赖版本控制不是“选最新”，而是由 go mod 自动执行最小版本选择（MVS）算法决定的——你声明的是下限，不是确切版本；最终生效的版本是满足所有依赖约束的最低兼容版本。
require 声明的是最低版本要求，不是锁定版本
在 go.mod 中写 require github.com/gin-gonic/gin v1.8.2，只表示“至少需要 v1.8.2”，不阻止 Go 选用 v1.9.0 或 v1.10.0——只要它们满足其他依赖的约束。这和 npm 的 ^ 或 pip 的 ~ 不同，Go 没有“默认升级”行为，但 MVS 会主动向上找满足条件的最小版本。
- 如果你只想用 v1.8.2，必须确保没有其他模块 require 更高版本的
gin -
go get github.com/gin-gonic/gin@v1.8.2会显式降级或固定到该版本，并更新go.mod - 直接编辑
go.mod手动改版本号无效，Go 会在下次go mod tidy时覆盖——必须用go get或go mod edit
go mod tidy 不只是补全依赖，它会重算整个依赖图
go mod tidy 的核心动作是：读取所有 .go 文件里的 import，收集直接依赖；再递归解析每个依赖的 go.mod，运行 MVS 算法得出全局一致的版本组合；最后清理未使用的 require 条目，并同步更新 go.sum。
- 它可能升级或降级某个间接依赖的版本，哪怕你没动过那行
require - 如果两个依赖分别 require
golang.org/x/net v0.17.0和v0.19.0，tidy会选v0.19.0（满足两者且最小） - 执行前建议先
git status，因为tidy可能修改go.mod和go.sum两处文件
replace 和 exclude 不是“绕过规则”，而是显式干预 MVS
replace 用于本地调试或临时替换不可达/有问题的模块；exclude 则强制剔除某个版本——二者都属于对 MVS 结果的人工覆盖，但机制完全不同：
立即学习“go语言免费学习笔记（深入）”；
-
replace github.com/some/pkg => ./local-fork：构建时所有对该包的 import 都指向本地路径，go.sum中对应远程版本的校验和仍保留，但不参与校验 -
exclude github.com/bad/pkg v1.2.3：MVS 过程中会跳过这个版本，即使它是满足约束的最小版本；常用于规避已知崩溃 bug 的补丁版本 - 两者都会让
go list -m all输出出现// indirect或// excluded标记，方便排查
go.sum 不是锁文件，而是校验快照
go.sum 记录的是每个模块每个版本的哈希值（h1: 开头），作用是验证下载内容完整性，不是用来“锁定版本”的——版本锁定靠 go.mod 的 require + MVS 规则保证。
- 删掉
go.sum后重新go mod download，会生成新文件，内容一致（前提是代理/源没被篡改） - 若校验失败，Go 会报错
invalid checksum并终止构建，不会静默忽略 - CI 环境中建议开启
GOSUMDB=off或配置私有 checksum DB，避免因网络问题阻塞构建
MVS 算法本身不暴露给用户控制开关，它的“保守性”体现在只升不降、只选满足全部约束的版本——这意味着你看到的最终版本，可能是某个深层依赖悄悄抬高的结果，而不是你直接写的那行 require 决定的。
