go mod tidy报inconsistent dependencies是go.mod与go.sum不一致的信号，表明间接依赖被多路径拉取不同版本且语义化不兼容，需用go mod graph定位冲突源头并统一require版本。
Go modules 本身不解决包冲突，它只强制选一个版本——你得自己判断哪个版本能跑通、谁在拖后腿。
go mod tidy 报 inconsistent dependencies 是什么信号
这不是“依赖没装好”，而是 go.mod 和 go.sum 对不上：某个间接依赖被多个路径拉了不同版本，且这些版本之间不满足语义化兼容规则（比如一个要 v1.5.0，另一个要 v2.1.0+incompatible）。
- 典型报错：
require github.com/some/pkg v1.2.0: version "v1.2.0" invalid或inconsistent dependencies detected - 先别急着删
go.sum或go clean -modcache——这只会让问题延后爆发 - 运行
go mod tidy -v看详细日志，它会告诉你哪条依赖路径触发了冲突 - 真正要查的是：谁在 require 这个包？各自要求什么版本？用
go mod graph | grep some/pkg定位源头
require 和 replace 的实际影响差异
require 是声明“我要这个版本”，Go 会把它纳入 MVS 计算；replace 是绕过计算，直接硬替换——但所有依赖都会被一并替换过去，不是局部生效。
- 加
require github.com/conflicted/pkg v1.8.0后必须跟go mod tidy，否则不会生效 -
replace github.com/conflicted/pkg => github.com/forked/pkg v1.9.0会导致所有 import 该包的地方都走 fork 路径，包括你没改过的第三方库 - 如果被 replace 的包本身有
go.mod，它的依赖也会被带进来，可能引发新冲突 -
replace不会被下游 module 继承——别人go get你的库时，不会自动应用你的 replace 规则
为什么 v2 包总出问题
Go 要求 major 版本变更必须体现在导入路径里，v2 不是简单升级，而是新模块。混用 github.com/x/y 和 github.com/x/y/v2 就等于引入两个完全不同的包。
立即学习“go语言免费学习笔记（深入）”；
- 错误写法：
import "github.com/x/y"+require github.com/x/y v2.0.0→ 编译失败 - 正确写法：模块声明为
module github.com/x/y/v2，导入时写import "github.com/x/y/v2" - 如果上游库没按规范打
v2tag（比如只打了v2.0.0但没改go.mod中的 module 名），Go 会把它当+incompatible处理，和其他v1版本无法共存 - 用
go list -m all | grep y能一眼看出是否混用了/v1和/v2
go.sum 提交与否决定你能不能复现 bug
go.sum 不是缓存，是校验锁——它记录每个依赖的精确哈希值。不提交它，CI 和同事 build 出来的二进制可能行为不一致。
- 删掉
go.sum再go mod download，Go 会重新下载所有依赖，但未必是原来那个 commit -
go mod verify会比对当前依赖和go.sum是否匹配，不匹配就报错 - 如果某依赖的 tag 被篡改或重推（小概率但真实存在），
go.sum是唯一能拦住它的防线 - 团队协作中，
go.sum必须和go.mod一起提交，缺一不可
