容器构建时go mod tidy失败90%因GOPROXY和GOPRIVATE未配对：需在Dockerfile中显式设置GOPROXY=https://goproxy.cn,direct、GOPRIVATE=git.example.com,github.com/my-team/*，并安装git/openssh-client及ca-certificates。
容器构建时 go mod tidy 失败，90% 是因为 GOPROXY 和 GOPRIVATE 没配对，不是网络不通，也不是代码写错了。
go mod tidy 在 Docker build 里卡住或报 module not found
现象：Docker 构建阶段执行 go mod tidy 时卡在某个私有模块、返回 module github.com/your-org/internal-lib: reading https://proxy.golang.org/...: 403 Forbidden 或直接 unknown revision。
根本原因不是代理挂了，而是 Go 默认仍会把私有路径发给公共代理查 checksum —— 即使你本地 go env GOPROXY 看起来是对的，Docker 构建环境是干净的，所有环境变量都得显式注入。
- 必须在
Dockerfile的构建阶段（比如RUN前）设置GOPROXY和GOPRIVATE，不能只靠宿主机配置 -
GOPROXY必须含direct，且放在末尾：https://goproxy.cn,direct；缺direct就不会 fallback 到直连 -
GOPRIVATE要覆盖所有私有域名，支持通配符：git.example.com,github.com/my-team/*，注意逗号无空格 - 如果用 SSH 克隆私有库（如
git@git.example.com:group/repo.git），还得确保镜像里装了openssh-client并配置好~/.ssh/config
为什么 GOPROXY=direct 不行，而必须配 proxy,direct？
设成 GOPROXY=direct 确实能绕过代理，但代价是：所有模块（包括公开的 golang.org/x/net）都走 git clone，速度慢、易失败、还可能触发 GitHub rate limit。
更关键的是，direct 模式下 Go 仍会调用 go.sum 校验，而校验源（GOSUMDB）默认是 sum.golang.org，内网或受限网络下照样失败。
-
GOPROXY=https://goproxy.cn,direct的含义是：先试代理，404 或 403 就自动切到 direct —— 这才是安全兜底 -
GOPRIVATE同时影响GONOPROXY和GONOSUMDB，所以设了它，私有模块就既不走代理也不校验 checksum - 别手动设
GONOSUMDB，容易漏配；GOPRIVATE覆盖更稳
Dockerfile 中正确配置的最小可行写法
不要在 FROM golang:1.23 后依赖宿主机环境，所有 Go 相关配置必须在构建阶段显式声明：
FROM golang:1.23-alpine RUN apk add --no-cache git openssh-client \ && go env -w GOPROXY=https://goproxy.cn,direct \ && go env -w GOPRIVATE=git.example.com,github.com/my-team/*
如果你的私有模块用 HTTPS 地址（如 https://git.example.com/group/repo），还需确保 CA 证书可信；Alpine 镜像默认没装完整 ca-certificates，加一行：apk add --no-cache ca-certificates。
若用 SSH 地址，则需额外挂载或生成 ~/.ssh/id_rsa，并在 RUN 前配置 ~/.ssh/config，否则 go mod tidy 会卡在 git@git.example.com: Permission denied (publickey)。
go mod vendor 在容器里没用？那是因为没配合 -mod=vendor
很多人以为 go mod vendor 生成了 vendor/ 目录，构建就自动走本地，其实不然。Go 1.14+ 默认仍启用 GOPROXY，go build 会优先从 proxy 拉包，哪怕 vendor/ 存在。
- 要强制使用 vendor，必须加构建参数：
go build -mod=vendor - CI/CD 或 Docker 构建中，建议统一用
-mod=vendor，避免任何网络依赖 -
go mod vendor本身不更新 vendor 内容，每次依赖变更后需重新运行；可加进 CI 脚本做一致性检查 - 注意：
vendor/不包含 replace 指向的本地路径模块，那些仍需确保路径在容器内可达
最常被忽略的一点：GOTOOLCHAIN=auto 在容器里几乎无效 —— 容器镜像里通常只装一个 Go 版本，auto 没东西可下。构建前务必确认基础镜像版本满足所有依赖的 go.mod 最低要求，否则 go mod tidy 直接报错退出。
