Go模块拉取私有GitLab仓库失败主因是GOPRIVATE未正确配置、SSH密钥未被git识别或~/.ssh/config缺失关键指令；Go完全依赖git的SSH行为，需确保ssh -T连通、密钥权限600、IdentitiesOnly yes启用、GOPRIVATE精确匹配路径前缀（如gitlab.example.com/**）、~/.ssh/config含HostName/IdentityFile等必选项，且ED25519密钥需两端兼容。
Go 模块拉取私有 GitLab 仓库失败，90% 是因为 GOPRIVATE 没配对、SSH 密钥没被 git 正确识别，或 ~/.ssh/config 里漏了关键指令。不是 Go 不支持 SSH，而是它完全依赖 git 的底层行为——git 能 ssh 成功，go mod 就能拉；git 失败，go 就报错 “unknown revision” 或 “permission denied (publickey)”。
为什么 go mod tidy 报 “permission denied (publickey)”
这不是 Go 的错，是 git 在背后用 SSH 连接时失败了。Go 自己不处理密钥，只调用 git clone。常见诱因：
-
ssh -T git@gitlab.example.com本身就不通——先验证这步，别跳过 -
~/.ssh/config中缺IdentitiesOnly yes，导致系统尝试多个密钥，最终被 GitLab 拒绝（尤其当你有多个id_rsa类文件时） - 私钥权限太宽松：
chmod 600 ~/.ssh/id_ed25519必须执行，否则 OpenSSH 直接拒用 - Windows 上用 Git Bash 但密钥放在
C:\Users\XXX\.ssh\，而 Git Bash 默认读/c/Users/XXX/.ssh/——路径斜杠和盘符大小写都得对
GOPRIVATE 必须精确匹配模块路径前缀
Go 不靠域名判断私有性，只看模块路径是否匹配 GOPRIVATE 的通配规则。配错就走代理、404 或 x509 错误。
- 写成
GOPRIVATE=*.gitlab.example.com→ 无效，Go 不支持域名通配符 - 正确写法：
GOPRIVATE=gitlab.example.com/**（匹配所有子路径）或GOPRIVATE=gitlab.example.com/myteam/*（只匹配一级） - 多个域名用逗号分隔：
GOPRIVATE=gitlab.example.com/**,gitee.com/our-org/**，不能有空格 - 必须用
go env -w GOPRIVATE=...写入，别只 export 临时变量——CI 环境会失效
~/.ssh/config 的最小可靠配置
这个文件决定 git 用哪个用户、哪个密钥连哪个 Host。少一行就可能 fallback 到 http 或错用密钥。
立即学习“go语言免费学习笔记（深入）”；
Host gitlab.example.com HostName gitlab.example.com User git IdentityFile ~/.ssh/id_ed25519 IdentitiesOnly yes PreferredAuthentications publickey
-
HostName必须显式写，哪怕和 Host 相同——否则 git 可能拼出git@gitlab.example.com:gitlab.example.com/...这种错误地址 -
IdentityFile要写绝对路径，~在某些环境（如 systemd service）下不展开 - 别加
StrictHostKeyChecking no——这不是安全妥协点，而是掩盖真实连接问题
ED25519 密钥比 RSA 更稳，但要注意兼容性断层
生成命令 ssh-keygen -t ed25519 -a 100 -f ~/.ssh/gitlab_go_ed25519 是当前最优选，但得确认两端都支持：
- GitLab 14.0+、OpenSSH 6.5+ 原生支持 ED25519，没问题
- 老版本 CentOS 7 默认 OpenSSH 6.6.1，可支持；但某些嵌入式 CI agent（如旧版 Drone）可能只认 RSA
- 公钥内容以
ssh-ed25519开头，粘贴到 GitLab SSH Keys 页面时别漏掉整行（包括末尾邮箱注释） - 如果团队混用旧工具，宁可统一用
ssh-keygen -t rsa -b 4096，别为“更短”牺牲稳定性
最常被忽略的是：Go 模块拉取私有仓库时，根本不会读 ~/.gitconfig 里的 insteadOf 规则——那个只影响 git clone 命令行行为，对 go mod 无效。所有路由控制必须靠 GOPRIVATE + ~/.ssh/config 组合生效。
