Go工具链不处理权限控制，仅将模块路径转为Git URL并调用git clone，授权完全依赖Git层的HTTPS+PAT或SSH认证，GOPRIVATE仅绕过代理和校验，匹配必须精确，否则报401。
私有 Go 模块本身不提供授权机制，安全依赖 Git 协议层的认证 + GOPRIVATE 的代理/校验绕过，配置错误会直接导致 go mod tidy 卡住或报 401 Unauthorized。
为什么不能靠 go.mod 或 Go 工具链做权限控制
Go Modules 是纯客户端解析机制，go get 和 go mod download 从不校验用户身份，也不读 .netrc、不调用 GIT_ASKPASS、不理解 OAuth2 scopes。它只做一件事：把模块路径（如 git.internal.company.com/lib/util）转成 Git URL，然后调用系统 git clone。所有授权逻辑都落在 Git 客户端身上。
- 模块路径必须与 Git 仓库地址结构一致，否则
go工具链根本不会触发git clone -
go.sum校验的是内容哈希，不是访问权限；即使能拉下来，checksum mismatch 也可能是因多人用了不同 commit - 没有“模块级 token”或“Go 内置 role-based access control”，所谓“授权”只是让合法凭据能抵达 Git 服务端
Git 认证方式选型：HTTPS with PAT 还是 SSH？
两者都能用，但适用场景和坑点完全不同：
-
HTTPS + Personal Access Token（推荐内网 GitLab/Gitee）：把 token 嵌进 Git 凭据库，
git config --global credential.helper store，再执行一次git clone https://git.internal.company.com/group/repo.git输入login（任意非空字符串）和password（PAT），Git 就会存进~/.git-credentials。之后go mod tidy自动复用 -
SSH（推荐高安全要求或跳过密码管理）：需确保
~/.ssh/id_rsa已加载进ssh-agent，且远程 Git 服务已绑定对应公钥；同时必须配git config --global url."git@git.internal.company.com:".insteadOf "https://git.internal.company.com/"，否则 Go 默认走 HTTPS 协议并失败 -
别用
.netrc：虽部分 Git 版本支持，但权限（chmod 600 ~/.netrc）、路径（仅限$HOME/.netrc）、格式（无注释、无空行）稍错就静默失效，CI 环境尤其不可靠
GOPRIVATE 必须精确匹配，漏一个子域名就 401
GOPRIVATE 不是“白名单”，而是“强制直连开关”。Go 遇到模块路径匹配该值时，才跳过 proxy.golang.org 和 sum.golang.org，转而调用本地 git。匹配规则严格：
立即学习“go语言免费学习笔记（深入）”；
- 写
git.internal.company.com，但模块路径是dev.git.internal.company.com/lib→ 不生效 → 报401 - 应写
*.internal.company.com或dev.git.internal.company.com,git.internal.company.com - 多个域名用英文逗号分隔，不能有空格：
export GOPRIVATE="gitlab.example.com/*,github.com/myorg/*" - Windows PowerShell 用户用：
$env:GOPRIVATE="gitlab.example.com/*"，CMD 用：set GOPRIVATE=gitlab.example.com/*
GOINSECURE 和 GOTRUST 只在 HTTP 或自签名证书时才需要
如果你的私有 Git 服务跑在 http://git.internal.company.com（非 HTTPS），或者用了内网自签证书，必须额外配置：
-
GOINSECURE=git.internal.company.com：告诉 Go 跳过 TLS 证书校验（仅对 HTTP 或不信任证书有效） -
GOTRUST=1（Go 1.21+）：启用自签名证书信任（替代系统级update-ca-certificates） - 这两项和
GOPRIVATE是正交关系 ——GOPRIVATE解决“要不要走代理”，GOINSECURE/GOTRUST解决“能不能建 HTTPS 连接” - 若已用合法 HTTPS 证书（如 Let’s Encrypt），这两个变量完全不需要设
最易被忽略的一点：所有配置（GOPRIVATE、GOPROXY=...,direct、GOINSECURE）必须在 go mod tidy 前生效，且 CI 环境中要显式注入，不能只靠本地 shell 配置。临时测试可用 GOPRIVATE=xxx go mod tidy，但上线前务必固化到构建脚本或容器镜像中。
