安全升级 Go 模块依赖的核心是「不自动、不批量、不跳主版本」：必须用 go get 显式指定版本（如 @v1.9.3），禁用无版本或 @master；go mod tidy 仅校验而非升级；一次只动一个模块并立即验证兼容性与测试通过。
安全升级 Go 模块依赖，核心是「不自动、不批量、不跳主版本」——go get 必须带明确版本号，go mod tidy 是校验器不是升级器，一次只动一个模块并立刻验证。
用 go get 显式指定版本升级
这是最可控的方式，只更新目标模块，不递归影响间接依赖。
-
go get github.com/sirupsen/logrus@v1.9.3安全；go get github.com/sirupsen/logrus（无版本）危险：可能拉v2.0.0+incompatible或v0.x.y-alpha - 版本可为语义化标签（
@v1.9.3）、伪版本（@v0.0.0-20240101120000-abcdef123456），但避免@master或@main—— 它们生成不可复现的伪版本，且易漂移 - 执行后
go.mod和go.sum会自动更新，但若该模块尚未被代码import，需再跑go mod tidy才真正下载
升级前确认兼容性边界
主版本升级（如 v1 → v2）必须改 import 路径，否则编译失败；次版本（v1.5 → v1.6）理论上兼容，但实际常含隐性破坏。
- 查 CHANGELOG：重点搜
BREAKING CHANGES、Deprecations、Removed等关键词 - 运行
go list -u -m -f '{{.Path}}: {{.Version}} -> {{.Latest}}' all | grep 'your-module'看升幅，v1.5.3 → v1.6.0就得人工介入 - 对高频更新库（如
golang.org/x/tools），先在 CI 中加go test ./+go vet ./，失败即阻断
警惕 go mod tidy 的“静默重算”
它不是按你写的 require 保留版本，而是按最小版本选择（MVS）规则重推整个依赖图——你手动写的 v1.5.0 可能被它降级成 v1.3.0，只因某个子依赖不认更高版。
立即学习“go语言免费学习笔记（深入）”；
- 发现意外降级？用
go mod graph | grep 'target-module@'查谁在拉低版本 - 想强制锁定？在
go.mod末尾加replace github.com/xxx/yyy => github.com/xxx/yyy v1.5.0，再跑go mod tidy -
replace不解决根本冲突，只是绕过；若同一模块被多个replace声明，Go 会报错，必须清理
验证必须落在代码层面
升级后不跑测试，等于没升级。Go 不会在 go get 后自动检查你是否调用了已删函数或类型。
- 至少执行：
go build ./...（确保编译通过） +go test ./...（覆盖核心路径） - 若项目用
interface{}或反射调用依赖方法，还得补集成测试，因为静态检查捕获不到 - CI 中加
go mod verify校验go.sum完整性，防止依赖被篡改
最容易被忽略的是间接依赖的版本漂移：某个工具包（比如 ginkgo）悄悄引入旧版 golang.org/x/net，和你的主模块新版冲突，导致 cannot use X as type Y。这种问题不会出现在 go.mod 的 require 里，只能靠 go list -m all | grep x/net 和 go mod graph 暴露。
