go.sum是唯一可信的指纹备份，因为它由Go工具链自动生成并强制校验，记录项目实际依赖模块的SHA-256哈希值，每次构建时比对本地缓存内容，不匹配即报checksum mismatch失败；它不是额外生成的备份，而是不可绕过的权威校验依据，必须与go.mod一同提交且严禁手动编辑。

go.sum 是唯一可信的指纹备份，它必须和 go.mod 一起提交，且不能手动编辑

为什么 go.sum 就是备份，而不是额外生成一份？

go.sum 不是“可选备份”，它是 Go 工具链强制校验的权威指纹库。每次 go get 或 go build 都会用它比对本地缓存中模块内容的 SHA-256 哈希值。一旦不匹配，构建直接失败，报错 checksum mismatch。

• go.sum 中每行格式为：module/path v1.2.3 h1:abc123...（h1 表示 SHA-256）和 => 行（用于 replace 场景）
• 它只记录你项目实际用到的模块及其精确哈希，不含冗余项
• 删除或篡改 go.sum 后，go mod tidy 会重新生成——但此时已失去“首次可信快照”的意义

哪些操作会让 go.sum 失效或不可信？

go.sum 的安全性依赖于它的完整性与来源一致性。以下行为会破坏其可信度：

• 手动修改 go.sum 文件中的任意哈希值（哪怕只改一个字符）
• 在未运行 go mod tidy 的情况下，直接提交空的或过期的 go.sum
• CI/CD 中跳过 go mod verify 检查，或忽略 git status --porcelain go.sum 的变更输出
• 使用 go mod download -json 等非标准方式拉取模块后，未触发 go.sum 自动更新

如何验证 go.sum 是否真正起到防篡改作用？

仅靠存在 go.sum 文件不够，必须在构建流程中显式验证：

• 本地开发：执行 go mod verify，输出 all modules verified 才算通过
• CI 流水线：在 go build 前加一步 go mod verify || exit 1
• 检查缺失条目：如果 go mod verify 报 missing go.sum entry，说明某个模块没被记录，需立即补全（go mod tidy 或 go mod download）
• 对比远程校验源：对关键模块，可手动查 https://sum.golang.org/lookup/github.com/user/repo@v1.2.3，确认哈希一致

go.sum 的脆弱点在于它本身是一份文本文件——没有签名、不加密、不防重放。它的“安全”完全建立在版本控制系统（如 Git）的不可变历史 + 团队协作规范之上。一旦有人绕过 go mod tidy 直接提交伪造的 go.sum，整个校验链就断了。