启用强制2FA后go mod download失败的根本原因是Go不支持浏览器登录且不复用网页会话，仅依赖Git凭据或SSH密钥；HTTPS需PAT认证，SSH更可靠，但必须同时配置SSH和GOPRIVATE。
主仓库启用强制两步验证（2FA）后，go mod download 或 go get 失败，根本原因不是 Go 工具链不支持 2FA，而是 Go 依赖 Git 协议拉取私有模块时，**不走浏览器登录流程，也不自动复用 GitHub/GitLab 的网页会话**——它只认 Git 凭据或 SSH 密钥。一旦 2FA 开启，HTTPS 方式默认失效，SSH 成为唯一可靠路径。
为什么 HTTPS 拉取私有库会失败？
GitHub/GitLab 启用强制 2FA 后，所有 HTTPS 请求（包括 Go 调用的 git clone https://github.com/owner/private-repo）必须带 Personal Access Token（PAT），不能再用账号密码。而 Go 默认不传任何凭据，Git 就卡在 credential helper 提示上，终端无响应或报 authentication required。
- 现象：命令卡住、无输出，或报错
remote: Support for password authentication was removed - 关键点：
go不会弹出浏览器登录页，也不会读取你在网页端已登录的状态 - 即使你本地
git clone能成功，Go 仍可能失败——因为 Go 调用的是独立的 Git 子进程，未必复用同一套凭据配置
用 SSH 替代 HTTPS 是最稳解法
SSH 不受 2FA 影响，只要密钥已添加到 GitHub/GitLab 账户且本地配置正确，Go 就能静默完成拉取。
- 确认
~/.ssh/id_rsa.pub已添加到对应平台的 SSH keys 设置页 - 检查
go.mod中模块路径是否为 SSH 格式：git@github.com:org/repo.git，不是https://github.com/org/repo - 运行
ssh -T git@github.com（或git@gitlab.com）验证连通性；若提示Hi username! You've successfully authenticated，说明 SSH 可用 - 如果公司 Git 服务器用自定义域名，确保
~/.ssh/config里有对应 Host 别名，且go.mod中路径匹配该别名
实在要用 HTTPS，必须配 PAT + Git 凭据缓存
不能用密码，必须用 Personal Access Token（PAT），且需显式绑定到 Git 凭据系统。
- 在 GitHub/GitLab 创建 PAT，勾选
repo权限（GitLab 需read_repository） - 执行：
git config --global credential.helper store（首次会生成~/.git-credentials） - 手动触发一次凭据存储：
git clone https://<token>@github.com/org/repo.git</token>（把换成真实 PAT） - 之后 Go 调用
git clone时会自动读取该凭据，不再卡住 - ⚠️ 注意：不要在
go.mod中硬编码 token，否则泄露风险极高；只靠 Git 凭据系统传递
GOPRIVATE 必须设对，否则 SSH/HTTPS 都白配
哪怕 SSH 路径写对了，如果没加进 GOPRIVATE，Go 仍会把请求发给 GOPROXY，结果返回 404 或 403 —— 因为代理无法访问你的私有库。
- 执行：
go env -w GOPRIVATE="github.com/org/*,gitlab.company.com"（逗号分隔，无空格，支持*通配） - 验证：
go env GOPRIVATE输出应与设置一致 - IDE（如 VS Code、Goland）可能不继承 shell 环境变量，需在 IDE 设置里单独填入
GOPRIVATE
最易被忽略的是：SSH 配置和 GOPRIVATE 必须同时生效。只配 SSH 但没设 GOPRIVATE，Go 还是走代理；只设 GOPRIVATE 但没配 SSH 或 PAT，Git 层直接认证失败。这两步缺一不可，且顺序无关——它们解决的是不同层级的问题。
