GO111MODULE=on和GOPRIVATE必须显式设置，否则go mod tidy会fallback至GOPATH模式或走公共代理，不触发SSH/HTTPS认证，导致401 Unauthorized等错误；GO111MODULE=on确保模块启用，GOPRIVATE须精确匹配域名（含端口）、逗号分隔无空格。
GO111MODULE=on 和 GOPRIVATE 必须显式设置
不设这两个环境变量，go mod tidy 会直接 fallback 到 GOPATH 模式或尝试走公共代理，根本不会触发 SSH 或 HTTPS 认证流程。常见报错是 module git.internal.company.com/lib: reading git.internal.company.com/lib/go.mod at revision v0.1.0: 401 Unauthorized —— 这不是权限问题，是 Go 根本没把你的模块当私有资源处理。
-
GO111MODULE=on是硬性前提：旧版 CI 镜像或 Alpine 容器里常默认为auto，go mod init后运行go env -w GO111MODULE=on才真正生效 -
GOPRIVATE必须精确匹配模块域名：比如模块路径是git.internal.company.com/team/foo，就得设成git.internal.company.com；带端口（如:2222）也得写全，不能省略 - 多个域名用逗号分隔、无空格：
go env -w GOPRIVATE="git.internal.company.com,github.com/myorg"
Docker 构建时别把 SSH 秘钥硬编码进镜像
在 Dockerfile 里用 RUN ssh-keygen 或 COPY id_rsa 是高危操作：秘钥会留在某一层镜像中，docker history 一眼可见。BuildKit 的 --mount=type=secret 是唯一安全方案。
- 构建命令必须显式启用 BuildKit：
DOCKER_BUILDKIT=1 docker build --secret id=ssh_key,src=$HOME/.ssh/id_ed25519 . -
Dockerfile中挂载路径固定为/run/secrets/ssh_key，不可改；权限必须设mode=0600，否则ssh拒绝读取 - Alpine 镜像默认无非 root 用户，
uid=0,gid=0要显式声明，否则挂载后文件属主错乱 - 记得
ssh-keyscan github.com >> /root/.ssh/known_hosts，否则首次连接卡住
CGO_ENABLED=0 不等于完全静态链接
即使设了 CGO_ENABLED=0，若依赖含 cgo 的模块（如 github.com/mattn/go-sqlite3），Go 仍可能动态链接 musl libc —— 而 Alpine 的 musl 和标准 Linux 的 glibc ABI 不兼容，导致 exec format error。
- 优先选纯 Go 实现的替代库（如
github.com/ziutek/mymysql替代 sqlite3） - 若必须用 cgo 模块，基础镜像改用
debian:slim或ubuntu:22.04，避免 musl 问题 - 交叉编译时确认目标平台：
GOOS=linux GOARCH=arm64要和最终运行镜像架构一致
私有模块拉取失败时，先验证 Git 层是否通畅
Go 把模块下载完全交给 git 命令执行。GOPRIVATE 只是开关，不解决认证本身。所以 go mod download 报 401，本质是 git clone 失败。
立即学习“go语言免费学习笔记（深入）”；
- 在构建容器内手动跑：
git clone git@git.internal.company.com/team/foo.git /tmp/test，看是否成功 - 检查
~/.ssh/config是否配置了IdentitiesOnly yes，避免多密钥时选错 - HTTPS 场景下，
.netrc文件必须放在构建用户 HOME 目录下，且权限为0600 - 调试可用
GONOSSHDB=1开启 SSH 连接日志，定位握手失败点
GOPRIVATE 域名匹配不支持模糊通配，写错一个字符就失效。 
