私有代理必须启用allowedHosts白名单，否则无法拦截不合规模块；需配置Athens、Nexus或自建goproxy的白名单并返回403，配合GOPRIVATE实现客户端与服务端双重过滤。
私有代理必须启用 allowedHosts 白名单，否则无法拦截不合规模块
Go 客户端默认会把所有 go get 请求发往 GOPROXY，但代理服务本身不会自动拒绝非法路径——比如 github.com/evil-org/malware@v1.0.0 或拼写错误的 githu.com/xxx。Athens、Nexus 或自建 goproxy 都需显式配置白名单，否则请求照常转发、缓存甚至返回 200。常见现象是：CI 流水线里突然出现陌生模块名，go mod graph 里冒出非预期依赖，但 go mod download 却没报错。
实操建议：
- Athens 启动时加
--allowed-hosts=github.com,golang.org,gitlab.example.com，多个域名用逗号分隔，不支持通配符（*.example.com无效） - Nexus 必须在
golang-proxy仓库设置页勾选 “Allow Hosts”，填入github.com、golang.org等可信域名，**不能留空** - 若用七牛
goproxy.cn企业版，白名单配置在后台控制台，而非环境变量 - 测试是否生效：手动请求
curl "http://your-proxy/github.com/unknown/repo/@v/list"，不合规域名应返回 403，而非 404 或 HTML 页面
GOPRIVATE 和 allowedHosts 是两层过滤，缺一不可
GOPRIVATE 是 Go 客户端行为控制：告诉 go 命令“这个域名跳过代理，直连”。但它不阻止开发者手动改 GOPROXY 绕过限制，也不影响 CI 中未设 GOPRIVATE 的构建节点。而 allowedHosts 是代理服务端强制过滤，所有经由该代理的请求都必须匹配，属于基础设施级兜底。
典型漏配场景：
立即学习“go语言免费学习笔记（深入）”；
- 只设了
GOPRIVATE=gitlab.example.com，但没在 Nexus 里配置allowedHosts→ 开发者在本地改GOPROXY指向公网代理，仍可拉取github.com/malware - CI 节点未继承
GOPRIVATE环境变量，但代理服务启用了allowedHosts→ 自动拦截所有非白名单域名请求 - 白名单写了
gitlab.example.com，但模块路径是gitlab.example.com/internal/utils→ 符合，放行；若写了example.com，则malware.example.com也会被误放行
拦截后返回 403 还是 404？必须统一返回 403
返回 404 容易被绕过：go 工具链遇到 404 会尝试 fallback 到下一个代理（如果配置了多个），或走到 direct 直连——这等于把拦截逻辑交给了客户端，违背私有代理的管控初衷。而 403 是明确拒绝，go 不会重试，直接报错 reading https://proxy.internal: 403 Forbidden。
配置要点：
- Athens 默认返回 403，无需额外设置
- Nexus 需确认仓库的 “HTTP Response Status Code for Blocked Requests” 设为
403（不是默认的 404） - 自研代理务必检查路由逻辑：对非白名单域名的
/@v/、/@latest等路径，统一返回 403 + 空 body，不要渲染 HTML 或 JSON 错误页
go.sum 校验失败 ≠ 模块不合规，别用 GONOSUMDB 当过滤开关
GONOSUMDB 的作用是跳过 checksum 校验，不是模块准入控制。设成 GONOSUMDB=* 会导致所有模块绕过 sum.golang.org 验证，包括恶意包。真正要拦截的，是那些本就不该出现在依赖树里的模块（如黑产 SDK、未审计的第三方组件），而不是单纯因为校验失败就放行。
正确做法：
- 先用
allowedHosts拦截域名，再让合法模块走正常校验流程 - 对必须豁免校验的私有模块（如内网未上 sumdb 的包），仅限具体域名：
GONOSUMDB=gitlab.example.com/*，而非全局* - CI 中可加预检步骤：
go list -m all | grep -E "(evil|malware|untrusted)"，配合go mod graph扫描可疑路径
最易被忽略的是：白名单配置后没验证代理是否实际生效。很多团队在 Nexus 里勾了 “Allow Hosts”，却忘了重启服务，或没清空代理自身的缓存——旧请求可能仍从磁盘缓存返回，绕过新规则。上线前务必用 curl -v 直接调用代理接口，确认响应头含 403 且无 body 内容。
