go mod verify报checksum mismatch的根本原因是go.sum记录的哈希值与本地缓存模块实际内容不一致，主因包括远程模块被force-push覆盖、GOSUMDB服务异常或手动误编辑go.sum；它仅比对本地缓存，不联网更新。
go mod verify 为什么总报 checksum mismatch
根本原因不是本地代码被改了，而是 go.sum 记录的哈希值和当前缓存模块实际内容对不上。这种不匹配通常有三种来源：远程模块源码被 force-push 覆盖（攻击者篡改）、GOSUMDB 服务返回校验失败（如国内访问 sum.golang.org 超时或被干扰）、或者你手动编辑过 go.sum 文件但没同步更新哈希。
执行 go mod verify 时，Go 不会联网查新哈希，只比对本地 $GOPATH/pkg/mod 缓存里的解压后文件与 go.sum 中的 h1: 值。所以即使网络通畅，只要缓存损坏或 go.sum 条目缺失，也会失败。
- 若输出
missing go.sum entry，说明某个依赖没写入校验和，需先运行go mod tidy或go mod download - 若提示具体模块哈希不匹配，优先尝试
go clean -modcache清除缓存，再重跑go mod download - 不要用文本编辑器删
go.sum行——哪怕只删一行，go mod verify就会拒绝整个验证流程
GOSUMDB 环境变量怎么设才不踩坑
GOSUMDB 默认值是 sum.golang.org，但它在国内直连极不稳定，常导致 go get 卡住或校验失败。这不是代理问题，而是校验数据库本身被墙——GOSUMDB 和 GOPROXY 是两套独立机制，不能混用。
正确做法是显式设置可信镜像，例如：
立即学习“go语言免费学习笔记（深入）”；
go env -w GOSUMDB=off
或更安全的折中方案：
go env -w GOSUMDB=sum.golang.google.cn
注意：GOSUMDB=off 会完全跳过校验，仅适合内网离线开发；而 sum.golang.google.cn 是 Google 官方提供的中国镜像，与 sum.golang.org 数据实时同步，且支持 TLS 验证。
- 避免设成
https://goproxy.cn这类第三方代理地址——GOSUMDB只接受校验数据库地址，不支持普通代理格式 - 如果项目含私有模块，必须同时配置
GONOSUMDB，否则私有模块会被强制校验并失败 -
GOSUMDB设为off后，go mod verify仍可运行，但只比对go.sum是否存在，不再校验哈希有效性
go.sum 里 h1: 和 h1:/go.mod 两条记录的区别
go.sum 每个模块版本默认存两条哈希：一条是整个模块 zip 包的 SHA-256（h1:xxx），另一条是仅该模块 go.mod 文件的哈希（h1:xxx/go.mod）。前者用于构建时验证全部源码未被篡改，后者用于解析依赖树时快速判断是否需要下载完整包。
关键点在于：只要模块根目录下存在 go.mod 文件，就一定会生成第二条记录；而第一条记录一旦生成，任何文件改动（包括新增、删除、修改任意 .go 文件）都会使它失效。
- 如果你看到某行只有
h1:xxx没有/go.mod后缀，说明该模块没有自己的go.mod，属于 legacy 包 - 手动修改模块内某个 .go 文件后，
go mod verify会立刻报错，但不会自动重写go.sum——必须由go get或go mod tidy触发重新计算 -
go.sum不是“锁文件”，它不控制版本选择，只做内容快照；版本控制全靠go.mod里的require语句
为什么 go mod verify 通过了，构建还是失败
因为 go mod verify 只校验哈希一致性，不检查 Go 版本兼容性、平台约束（//go:build）、或 go.mod 中 replace 指向的本地路径是否存在。常见脱节场景包括：
- 本地
replace指向的路径被移动或删除，go build找不到源码，但go mod verify仍显示all modules verified -
go.mod声明go 1.21，但本地 Go 版本是 1.20，构建时报语法错误，而校验完全通过 - 模块用了
//go:build darwin，你在 Linux 上构建失败，但go mod verify不感知构建目标
真正要覆盖构建前检查，得组合使用：go mod download（确保所有依赖可拉取）+ go mod verify（确保内容未篡改）+ go list -m all（确认无 missing module）。
最易被忽略的是：go.sum 里的哈希只保证“下载下来的东西没被改”，不保证“这东西能编译”。校验通过只是安全链条的第一环，不是构建成功的充分条件。
