<p>Go 1.13+ 私有仓库依赖必须配置 GOPRIVATE 跳过代理与校验，并依赖系统 git 完成认证（HTTPS Token 或 SSH），缺一环即报 unknown revision、证书错误或 404；同时需确保 GO111MODULE=on、module path 与仓库地址一致，且 GOPRIVATE 值无空格、用 ** 通配子路径。</p>
直接说结论：Go 1.13+ 默认启用模块模式，但私有仓库依赖不会自动工作——必须配 GOPRIVATE 告诉 Go “别走代理、别校验 checksum”，再靠系统 git 完成认证；缺任何一环都会卡在 unknown revision、x509 certificate signed by unknown authority 或 404 Not Found。
确认 Go 版本并启用模块模式
低于 Go 1.13 的版本不支持现代模块机制，私有仓库配置基本无效。运行：
go version
若输出低于 go1.13，必须升级。1.16+ 更稳妥，因修复了内网证书和通配符匹配的多个边界问题。
确保模块模式强制开启（尤其 CI 或旧环境）：
立即学习“go语言免费学习笔记（深入）”；
-
go env -w GO111MODULE=on（1.16+ 默认开启，但某些脚本会覆盖） - 不要依赖
GOPATH/src下初始化项目——go mod init会在该路径下推导出错误 module path，比如cmd或本地绝对路径 - 新建项目时，直接在空目录执行：
go mod init gitlab.example.com/team/project（module path 应与未来仓库地址一致）
设置 GOPRIVATE 让 Go 跳过代理和校验
GOPRIVATE 是核心开关。它不是“告诉 Go 去哪拉代码”，而是“告诉 Go 别把这段路径当公共模块处理”——自动触发 GONOPROXY 和 GONOSUMDB 行为。
常见错误写法：
-
GOPRIVATE=*.example.com→ Go 不支持域名通配，必须写全路径前缀 -
GOPRIVATE=gitlab.example.com/→ 缺少*或**，无法匹配子路径如gitlab.example.com/team/lib -
GOPRIVATE=gitlab.example.com/*, github.com/my-org/*→ 逗号后带空格，Linux/macOS 下会被截断为仅第一个域名
正确做法（以 GitLab 为例）：
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
go env -w GOPRIVATE="gitlab.example.com/**,gitee.com/my-team/*"
注意：** 匹配任意深度子路径（推荐），* 只匹配一级；多域名严格用英文逗号分隔、无空格；Windows PowerShell 用户用 $env:GOPRIVATE="..."。
解决 git 认证失败：HTTPS Token 或 SSH 密钥
设置了 GOPRIVATE 只是让 Go 直连，真正拉代码的是系统 git 命令。如果 git clone https://gitlab.example.com/team/project 失败，go get 也一定失败。
两种主流认证方式：
-
HTTPS + Personal Access Token：在 GitLab 创建 token，然后配置
.netrc：machine gitlab.example.com<br>login <your-username><br>password <your-token>
-
SSH：确保
ssh -T git@gitlab.example.com成功；再做 URL 重写，避免 Go 默认拼 HTTPS 地址：git config --global url."git@gitlab.example.com:".insteadOf "https://gitlab.example.com/"
验证是否生效：git ls-remote -h https://gitlab.example.com/team/project（应返回 ref 列表，而非 401/403）。
绕过自签名证书或 HTTP 协议（仅限开发环境）
内网 GitLab 若用自签名证书或 HTTP 协议，GOPRIVATE 本身不跳过 TLS 校验。此时需额外配置：
- 临时方案（开发机）：
go env -w GOINSECURE="gitlab.example.com"→ 允许 HTTP + 跳过证书验证 - 生产方案（推荐）：把内网 CA 证书加入系统信任链，或让
git使用它：git config --global http."https://gitlab.example.com/".sslCAInfo /path/to/internal-ca.crt
注意：GOINSECURE 仅对匹配的 host 生效，且不能带路径；它不替代 GOPRIVATE，两者常一起用。
最容易被忽略的一点：所有配置（GOPRIVATE、GOINSECURE、git config、.netrc）都必须在你执行 go mod tidy 或 go get 的同一用户环境下生效——CI 容器、Docker 构建阶段、不同 shell 配置文件（~/.zshrc vs ~/.bashrc）都可能漏掉其中一环。
