内网离线安装Go必须人工下载校验SHA256、统一解压路径、配置GOPROXY/GOSUMDB闭环、导出环境变量并验证，同时按项目类型设置GO111MODULE与GOPATH，显式禁用CGO。
内网离线安装 Go 二进制包必须人工校验 SHA256
直接 curl https://go.dev/dl/ 在内网不可行，也不该尝试——所有节点必须使用同一份可信二进制包。错误做法是让不同人各自下载、解压、软链，结果路径不一致、权限混乱、版本混杂。
- 从
https://go.dev/dl/手动下载对应架构的go1.xx.x.linux-amd64.tar.gz（Linux）或go1.xx.x.windows-amd64.zip（Windows），**避开 .msi/.pkg 安装器** - 在一台内网可信机器上运行
sha256sum go1.xx.x.linux-amd64.tar.gz，比对官网页面下方公布的哈希值，**不匹配则立即废弃** - 统一解压到
/opt/go（Linux）或C:\go（Windows），**禁止解压到家目录再软链**——否则GOROOT继承用户权限，CI 节点常因权限不足启动失败 - 用 Ansible 或分发脚本批量部署，确保所有机器的
GOROOT值完全一致，比如全部为/opt/go
GOPROXY=GOSUMDB 必须闭环，否则 go mod download 会卡死
设 GOPROXY=https://proxy.golang.org 或留空，在内网等于主动触发超时等待；设 GOSUMDB=sum.golang.org 同理。这两项不配成闭环，go build 可能静默卡住 2 分钟以上，日志里只显示 “Fetching …”，没有明确报错。
- 首选方案：内网部署
athens，设GOPROXY=http://athens.internal:3000，并配GOSUMDB=off或指向私有 sumdb - 无条件部署代理时，临时用
GOPROXY=direct+GOSUMDB=off，但必须提前执行go mod vendor锁死依赖，且vendor/目录需纳入 Git - 若坚持用公网校验，可设
GOSUMDB=sum.golang.org+https://sum.golang.org，再配合内网 DNS 将sum.golang.org解析到反向代理 IP——这需要运维协同，单靠开发无法完成 - 验证是否生效：
go env GOPROXY GOSUMDB输出应为设定值，不是空或原始官网地址
GO111MODULE 和 GOPATH 的组合必须按项目类型显式声明
混合项目最易出问题：一个目录下既有老式 $GOPATH/src 结构，又有新 go.mod 文件，GO111MODULE=auto 会行为不一致——本地 shell 里能跑，CI 环境却找不到依赖。
- 新项目一律设
GO111MODULE=on，哪怕没go.mod，go build也会自动生成，并走GOPROXY拉取，避免隐式依赖GOPATH - 遗留项目无
go.mod且依赖散落$GOPATH/src，则必须设GO111MODULE=auto+ 显式配置GOPATH=/home/user/go（路径需真实存在且可写） -
GOPATH即使启用模块也仍需保留：因为go install默认把二进制放$GOPATH/bin，该路径必须加入PATH，否则命令找不到 - 不要依赖默认
GOPATH（如$HOME/go），尤其在 CI 中——容器环境家目录不稳定，应显式指定并创建目录
编译阶段禁用 CGO 是离线安全的硬性前提
CGO_ENABLED=1 会让 Go 编译器尝试调用系统 C 库（如 libc、libpthread），在内网节点缺少头文件或动态库时直接报错： exec: "gcc": executable file not found in $PATH 或更隐蔽的链接失败。
立即学习“go语言免费学习笔记（深入）”；
- 所有构建命令必须显式加
CGO_ENABLED=0，例如：CGO_ENABLED=0 go build -o myapp ./cmd/myapp - Docker 多阶段构建中，builder 阶段也需设该环境变量，否则静态二进制可能意外带入动态链接
- 若项目确实依赖 cgo（如 SQLite、OpenSSL），则必须在内网提供完整交叉编译工具链，并预装对应头文件和静态库——这不是“离线”而是“受限网络”，需额外规划
- 验证是否成功静态编译：
file myapp输出应含statically linked，而非dynamically linked
GOROOT 路径、GOPROXY 地址、GO111MODULE 开关、CGO_ENABLED 状态，缺一不可。任意一个节点漏配，就会在 CI 上突然失败，而错误信息往往不指向真实原因。 
