离线Go开发必须在有网且Go版本一致的机器上预拉取全部依赖，通过go mod tidy和go mod download -x确认缓存完整，再打包$GOPATH/pkg/mod/cache/download/目录并配合goproxy本地代理使用，而非依赖go mod vendor或CGO_ENABLED=0等妥协方案。
离线环境必须提前拉取所有依赖，不能靠 go mod download 实时获取
离线私有云平台没有外网通道，go mod download 会直接卡在域名解析或 TLS 握手阶段，报错类似 proxy.golang.org: no such host 或 timeout。这不是配置问题，是设计使然——Go 模块机制默认强依赖网络。
真正可行的做法，是在有网、且与目标环境 Go 版本完全一致（如 go1.21.6）的机器上执行预拉取：
- 运行
go mod tidy确保go.mod和go.sum完整，尤其注意// indirect标记的模块是否被显式 require - 执行
go mod download -x，观察输出路径，确认所有模块落盘到$GOPATH/pkg/mod/cache/download/ - 若项目含
replace到私有 Git 地址（如github.com/internal/lib），需手动git clone对应仓库，并用go mod edit -replace=github.com/internal/lib=./internal/lib改为相对路径 - 最后打包整个
$GOPATH/pkg/mod/cache/download/目录，连同项目代码一并拷贝至离线机
用 goproxy 起本地文件代理比 go mod vendor 更灵活
go mod vendor 把依赖复制进 vendor/，编译时确实不联网，但它有几个硬伤：不包含 replace 的本地模块、不处理 // indirect 的间接依赖、且 vendor 后仍需目标机具备 cgo 工具链——对私有云平台的异构节点（如 ARM64 麒麟系统）很不友好。
更推荐用 goproxy 工具起一个基于文件系统的本地代理：
立即学习“go语言免费学习笔记（深入）”；
- 在离线机上运行：
goproxy -proxy=file:///path/to/download -listen=localhost:8080 - 设环境变量：
GOPROXY=http://localhost:8080，GOSUMDB=off（或部署内网 sumdb） - 验证方式：执行
go list -m all，不报错且输出完整模块列表即表示代理生效 - 优势在于：保留模块机制语义、支持跨架构预拉取、便于 CI 流水线统一复用同一份缓存包
CGO_ENABLED=0 不是万能解，DNS 和系统调用可能失效
私有云平台常禁用 cgo 以规避底层 C 库缺失问题，但 CGO_ENABLED=0 会让 net 包退回到纯 Go DNS 解析器，它不读 /etc/resolv.conf，也不支持 systemd-resolved 或自定义 nameserver——导致服务注册、etcd 连接、HTTP client 请求全部失败。
实际决策要看平台底座：
- 若平台已预装
libc6-dev、libpthread.a等静态库，且允许安装gcc、pkg-config，应保持CGO_ENABLED=1，并用go list -f '{{.CgoFiles}}' ./检查哪些包含 cgo - 若平台严格锁定无 C 工具链（如某些信创容器镜像），则需针对性替换关键依赖：例如用
github.com/miekg/dns替代net的 DNS 查询，或用github.com/alexbrainman/sspi（Windows）替代原生认证逻辑 - 交叉编译时务必匹配目标 OS 的
GOOS和GOARCH，否则即使CGO_ENABLED=0也可能因 syscall 表不兼容而 panic
验证“真离线”必须抓包，不能只看编译是否成功
很多团队误以为 go build 成功就等于离线可用，但实际可能只是 DNS 请求被系统缓存、或代理配置未生效却碰巧命中本地缓存——上线后首次运行仍会崩。
上线前必须做真实网络隔离验证：
- 在离线机上启动抓包：
tcpdump -i any port 53 or port 443 or port 80 -w offline-test.pcap - 执行完整流程：
go mod download→go build→ 运行二进制 - 检查 pcap 文件：不应出现任何对外 IP 的 SYN 包，尤其是
proxy.golang.org、sum.golang.org或私有 Git 域名 - 特别注意：某些 SDK（如 AWS Go SDK）默认初始化时会尝试连接
169.254.169.254获取 metadata，需显式禁用或 mock
私有云平台的离线构建，本质是把网络依赖提前转化为可验证的文件资产——路径、哈希、工具链版本，三者缺一不可。
