go get拉私有仓库失败的根本原因是Go默认不读取SSH密钥或.netrc凭据，也不透传认证信息，需同时配置GOPRIVATE跳过代理与校验，并配合git credential.helper或SSH密钥完成认证。
为什么 go get 直接拉私有仓库会失败
因为 Go 默认只信任 HTTPS 和 GOPROXY 配置的公开代理，对 SSH 协议、自建 GitLab/GitHub Enterprise、带认证的 HTTPS 地址等场景，go get 会卡在认证或重定向环节，报错类似：unknown revision、repository not found 或 401 Unauthorized。根本原因不是 Go 不支持私有源，而是它不自动读取 SSH key 或 .netrc，也不默认透传凭证。
用 replace + git config 绕过 GOPROXY 并复用本地凭据
这是最轻量、可 commit 到团队 repo 的方案，适合 CI/CD 复用开发者本机配置的场景：
- 在
go.mod中用replace显式映射模块路径到本地克隆路径（如replace example.com/internal/pkg => ./vendor/internal/pkg），再通过git config --global url."git@github.com:".insteadOf "https://github.com/"统一转协议 - 确保私有仓库 URL 在
go.mod中使用 SSH 形式（如git@gitlab.example.com:team/lib.git），否则git config规则不生效 - CI 环境需预装 SSH key 并设置
ssh-agent，否则go mod download仍会失败
配置 GOPRIVATE 让 Go 跳过代理和校验
这是官方推荐方式，但很多人漏掉关键细节：它只控制「是否走 GOPROXY」，不解决认证问题。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 设环境变量
GOPRIVATE=gitlab.example.com,bitbucket.org/team（支持通配符，如*.example.com），Go 就不会把匹配域名发给 proxy 或 checksum server - 仍需配合
git config或~/.netrc提供凭证；若用 HTTPS 私仓，建议加git config --global credential.helper store并首次手动git clone触发存凭据 - 注意：如果私仓用了自签名证书，还得额外设
GIT_SSL_NO_VERIFY=true，否则go mod tidy会因 TLS 验证失败退出
在 CI 中安全注入凭证（避免硬编码）
本地开发可用 SSH，但 CI 流水线通常禁用交互式认证，必须程序化注入。
立即学习“go语言免费学习笔记（深入）”；
- GitHub Actions：用
git config --global url."https://${{ secrets.GIT_TOKEN }}@gitlab.example.com".insteadOf "https://gitlab.example.com"把 token 塞进 URL - GitLab CI：在
.gitlab-ci.yml中用before_script设置git config，并把CI_JOB_TOKEN或项目级 deploy token 注入 - 禁止把 token 写进
go.mod或.gitconfig文件提交——它们会被缓存进go mod download的 vendor 包，导致泄露
私有模块依赖真正难的不是“怎么拉下来”，而是让不同环境（本地、CI、Docker 构建）用同一套规则稳定认证，且不把凭证卷进镜像或日志。每次改 GOPRIVATE 或加新子域，都要同步更新所有环境的 git config 和凭证策略。
