Go项目构建中断多因GOSUMDB校验失败，应优先设为sum.golang.google.cn而非关闭；GOINSECURE或代理配置不当会加剧问题；CI中必须运行go mod verify并提交go.sum。
Go 项目构建或 go mod tidy 中断，十有八九不是模块本身坏了，而是 GOSUMDB 校验链路卡死或失败——它默认指向海外的 sum.golang.org，国内直连基本不可靠。
为什么 GOSUMDB 会中断构建
Go 工具链在下载模块后，必须向 GOSUMDB 查询该版本的权威哈希值，并与本地计算结果比对。一旦网络无法访问 sum.golang.org（DNS 污染、防火墙拦截、代理未覆盖），就会卡在 verifying ... 阶段，或直接报 checksum mismatch、fetching sum.golang.org/lookup/... 超时。
- 常见现象：终端长时间无响应，最后提示
dial tcp 142.251.42.241:443: connectex: A connection attempt failed - 注意：这不是
go.sum文件损坏，而是校验服务不可达；即使你本地go.sum完整，也会因无法验证而拒绝继续 -
GOPROXY和GOSUMDB是两条独立通路：前者加速下载，后者保障安全；配了镜像代理但没调GOSUMDB，校验仍会失败
优先用官方中国镜像替代 sum.golang.org
别关 GOSUMDB=off，先换可信镜像。Go 官方明确维护了 sum.golang.google.cn，HTTPS 可信、无需额外证书、响应快。
- 执行：
go env -w GOSUMDB=sum.golang.google.cn - 验证是否生效：
go env GOSUMDB应输出sum.golang.google.cn - 如果仍失败，检查是否误设了
GOINSECURE或GOPROXY泄露了私有域名（如GOPROXY=https://goproxy.io,direct会让sum.golang.org请求也走代理，而它不接受代理） - 不要手动拼
https://sum.golang.google.cn——GOSUMDB值只接受name[+url]格式，sum.golang.google.cn已内置公钥，直接写域名即可
GOSUMDB=off 是退化行为，仅限极小范围临时绕过
设成 off 后，Go 完全跳过远程校验，只信任本地 go.sum 记录。但这个文件本身可能未提交、被污染、或首次拉取时就已被劫持。
立即学习“go语言免费学习笔记（深入）”；
- CI/CD 中绝对禁止：
GOSUMDB=off等于关闭供应链审计，一次污染，全流水线继承风险 - 真要绕过（比如调试一个内网不可达的私有模块），用
go get -insecure+GOINSECURE=example.com更精准，且仅作用于指定域名 - 若必须离线使用，应提前运行
go mod vendor锁死依赖，并将vendor/提交 Git；此时可配GOSUMDB=off，但需人工确保vendor/来源可信
校验是否真正闭环：go mod verify 必须进 CI
go.sum 不是“锁文件”，它只保证“和上次构建一致”，不保证“第一次就是干净的”。真正的安全校验，得靠 go mod verify 回源比对公共日志。
- CI 第一行加：
go mod verify，失败即中断；它会连接GOSUMDB查询所有模块在透明日志中的哈希 - 确保 CI 环境变量中
GOSUMDB显式设置（别依赖默认值，旧版 Go 默认可能为off） -
go.sum文件必须提交 Git，每次go mod tidy后人工确认新增条目来源——比如突然出现github.com/xxx/yyy@v0.0.1，得查清是不是内部库，还是可疑第三方
最易被忽略的一点：GOSUMDB 的校验密钥是硬编码在 Go 工具链里的，你没法自建公开镜像；所谓“内网 sumdb”要么是伪造无效的，要么只是缓存代理（如 Athens），它不提供签名验证能力。真正安全的闭环，只能靠官方镜像或离线人工审计。
