不能直接将开源模块转为私有依赖，只能通过代理缓存、镜像同步或 vendor 锁定实现可控使用；其代码、版本、签名和校验和均由原作者控制，企业所谓“私有依赖”本质是管控访问路径而非重写模块身份。
不能直接“转换”开源模块为私有依赖，只能通过代理缓存、镜像同步或 vendor 锁定实现可控使用。 开源模块的代码、版本、签名和校验和都由原作者控制，你无法合法地把它变成“你的私有模块”。所谓“企业内部私有依赖”，本质是控制访问路径、缓存副本、跳过外部网络、绕过不可信源——而不是重写模块身份。
go mod download 走私有代理时为什么仍会报 unknown revision
常见现象是 go mod download 报错：unknown revision v1.2.3 或 module not found，即使你已配置 GOPROXY=https://goproxy.internal。
- 私有代理（如 Athens/Nexus）未开启
proxy.mode=sync或未启用对上游源（如https://proxy.golang.org）的回源能力，导致首次请求缺失模块时直接 404 -
GONOPROXY配置了不该跳过的域名，例如误加github.com，使本该走代理的开源模块被强制直连 GitHub —— 而企业内网往往不通外网 Git - 代理服务未正确处理语义化标签重写（如
v1.2.3-0.20230101120000-abc123这类 pseudo-version），返回空响应
用 GOPROXY + GONOPROXY 控制开源模块的流向
目标不是“隐藏”开源模块，而是让所有 go get 和 go mod download 流量可控、可审计、不依赖公网。
- 设置
GOPROXY=https://goproxy.internal,direct：优先走内部代理，失败再直连（direct是 fallback，非默认行为） - 设置
GONOPROXY=gitlab.company.com,github.company.com：仅对这些前缀跳过代理，其他全部走代理 —— 注意不要把github.com放进去 - 若需完全屏蔽公网，去掉
direct，改用GOPROXY=https://goproxy.internal并确保代理已预热常用模块（如go list -m -u all | xargs go mod download）
vendor 目录不是私有化，而是离线锁定
go mod vendor 不改变模块来源，只把当前 go.mod 解析出的所有依赖代码拷贝进 vendor/ 目录。它解决的是“构建时无网络”问题，不是“安全管控”问题。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
立即学习“go语言免费学习笔记（深入）”；
- 执行后仍需保证
go build -mod=vendor，否则 Go 仍会尝试联网解析 - vendor 中的代码仍带原始模块路径（如
github.com/gorilla/mux），无法改成internal.company.com/mux—— Go 不支持路径重写 - vendor 不解决校验和问题：
go.sum仍记录原始 checksum；若想替换，必须配合replace+ 本地 fork +go mod edit -replace，但维护成本极高
GOPRIVATE 和 GOINSECURE 容易配反的边界
这两个变量常被当成“开关”乱设，结果要么全放行、要么全拦截。
-
GOPRIVATE=github.com/myorg/*：仅对匹配路径跳过代理和校验（适合私有仓库），不影响github.com/gorilla/*等开源模块 -
GOINSECURE=github.com：跳过 TLS 校验，仅用于自建 HTTP 代理或测试环境，生产中应避免；它不控制是否走代理，只影响证书验证 - 错误示例：
GOPRIVATE=github.com→ 所有 GitHub 模块都不走代理、不校验，极大削弱安全性
真正关键的其实是代理服务本身是否做了模块签名缓存、是否支持 sum.golang.org 兼容接口、以及是否在 CI 中强制校验 go.sum 是否被篡改 —— 这些比环境变量配置更难，也更容易被忽略。
