unset GOPROXY会导致版本漂移，因go直连源站时GitHub标签可被force-push覆盖，.info返回最新commit hash而非固定值；而GOPROXY代理则锚定首次抓取的hash确保一致性。
团队里只要有一台机器没设 GOPROXY，go mod download 就可能拉到不同 commit 的同一版本模块 —— 这不是缓存问题，是 Go 模块代理协议本身决定的。
为什么 unset GOPROXY 会导致版本漂移
Go 模块协议要求：当 GOPROXY 未设置或为 direct 时，go 命令会直接向模块源站（如 GitHub）发起 GET /@v/v1.2.3.info 请求。而 GitHub 的 tag 可被 force-push 覆盖，且 .info 文件只返回最新 commit hash，不校验是否与之前一致。
这意味着：同一 v1.2.3 标签，在 A 机上下载时得到 abc123，B 机上几分钟后可能拿到 def456 —— go.sum 校验失败，构建中断。
-
GOPROXY=https://proxy.golang.org或私有代理（如 Athens）会固定返回首次抓取的 commit hash，后续请求全部复用 -
GOPROXY=direct或空值 → 绕过代理，直连源站 → 无版本锚定能力 -
GOINSECURE不解决这个问题，它只影响 TLS 校验，不影响版本解析逻辑
如何一次性锁定所有开发机的 GOPROXY
别靠口头提醒或 README，得让 go 命令自己拒绝执行无代理操作。
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 在团队统一的 shell 初始化文件（如
~/.bashrc或~/.zshrc）中写入：export GOPROXY=https://goproxy.cn,direct
- 强制要求 CI/CD 流水线显式声明：
env: GOPROXY: "https://goproxy.cn,direct"
- 在项目根目录放一个
go.env文件（Go 1.21+ 支持），内容为：GOPROXY=https://goproxy.cn,direct
，并确保go env -w GOPROXY=不覆盖它（go env -u GOPROXY可清用户级设置） - 检查是否生效：
go env GOPROXY输出必须含direct且不含空值或off
私有模块和 GOPRIVATE 怎么配合用
如果团队用了私有 Git 仓库（如 git.internal.company.com），只设 GOPROXY 不够，还得告诉 Go “哪些域名不走代理”。
-
GOPRIVATE=git.internal.company.com→ 匹配该域名下所有模块，跳过代理直连 - 多个域名用逗号分隔：
GOPRIVATE=git.internal.company.com,github.company.com - 支持通配符：
GOPRIVATE=*.company.com，但注意：Go 不支持正则，只认*前缀匹配 - 关键点：
GOPRIVATE必须和GOPROXY同时生效，否则私有模块仍可能被代理拦截并 404
CI 构建失败时先查这三行
遇到 verifying github.com/user/repo@v1.2.3: checksum mismatch，别急着重试，先确认：
-
go env GOPROXY输出是否为预期值（不是空、不是off、不是只有direct） -
go env GOPRIVATE是否包含私有域名，且拼写完全一致（大小写敏感、无多余空格） -
go mod download -json输出里，出错模块的Version字段是否和go.sum里记录的 hash 对应 —— 如果不对应，说明某处绕过了代理
最常被忽略的是：开发者本地 go env -w GOPROXY= 写错了，或者 CI 镜像里预装的 Go 版本太老（GOPROXY 协议。
