go get -u会悄悄升级不想要的依赖，因为它默认对整个依赖图执行语义化版本向上兼容更新，不区分直接或间接依赖，例如升级logrus时连带升级其依赖的golang.org/x/sys，可能引入未充分测试的变更导致运行时panic。
为什么go get -u会悄悄升级你不想要的依赖
因为 go get -u 默认对整个依赖图执行“语义化版本向上兼容更新”，它不区分直接依赖和间接依赖，也不管你是否真的需要新版本。比如你只改了 github.com/sirupsen/logrus，但它依赖的 golang.org/x/sys 也会被拉到最新 minor 版——而这个版本可能刚合并了一个未充分测试的 syscall 适配，导致你在 Alpine 镜像里运行时 panic。
-
go get -u等价于go get -u=minor，不是“只升我指定的那个”，而是“升所有满足 ^x.y.z 的依赖” - CI 中若用
go mod tidy前没清掉旧go.sum，工具链可能复用缓存中已失效的校验和，跳过真实校验 - 开发者本地执行
go get xxx@latest后忘记git add go.mod go.sum，导致团队其他人构建时实际拉取的是另一个 patch 版本
如何让 require 行真正变成“锁死开关”
go.mod 里的 require 行本身不是锁，只是声明“至少需要这个版本”。真正起锁定作用的是：显式写死语义化版本 + 提交 go.sum + 禁用自动 fallback。
- 手动编辑
go.mod把github.com/sirupsen/logrus v1.9.0改成github.com/sirupsen/logrus v1.9.3，然后必须运行go mod download和go mod verify确认校验和写入go.sum - 禁止在 CI 脚本里出现
go get -u或go get ./...；替换为go get github.com/xxx/yyy@v1.2.3这种带明确 tag 的命令 - 在
.gitignore里删掉go.sum相关条目——它不是临时文件，是签名快照，漏提交等于放弃校验
怎么发现某个依赖其实已被间接升级了
你没动 go.mod，但 go list -m all | grep logrus 显示版本变了？大概率是某个新引入的库（比如 github.com/segmentio/kafka-go）依赖了更高版 logrus，触发了最小版本选择（MVS）算法自动抬升。
- 运行
go mod graph | grep logrus查谁在拉它；再用go mod why github.com/sirupsen/logrus定位源头 - 检查
go.mod中该依赖是否标记为// indirect—— 如果是，说明它没被你直接 import，而是被别人带进来的 - 想冻结它？加
replace github.com/sirupsen/logrus => github.com/sirupsen/logrus v1.9.3，这比改require更强硬，连间接依赖也覆盖
CI 流程里必须卡住的三个检查点
光靠开发者自觉不行，得把约束塞进自动化流程里。这三个检查点一旦缺失，隐式升级风险就回到线上。
立即学习“go语言免费学习笔记（深入）”；
- 构建前跑
go mod tidy -v && git status --porcelain go.mod go.sum，非空输出就 fail —— 防止有人漏提交依赖变更 - 每天定时跑
govulncheck ./，发现高危漏洞才触发人工评估，而不是等 PR 合并后才发现 CVE - 对主依赖做白名单：用脚本解析
go list -m -json all，检查golang.org/x/net是否超出v0.22.0，超了就阻断构建（尤其适用于金融、IoT 类项目）
最易被忽略的是 replace 的持久性——它只在当前 module 生效，子模块如果各自有 go.mod，得单独加 replace；多模块仓库里，一个 replace 写错位置，整条依赖链就失控。
