这不是 Go 本身的问题，而是系统级 TCP 连接被中间设备（如企业防火墙、代理网关、DNS 污染）主动重置导致的；典型表现为 dial tcp ...:443 connectex 错误，抓包可见 SYN 后收到 RST 而非超时，说明连接被拦截而非未响应；根本解法是配置带 direct 的多级 GOPROXY（如 https://goproxy.cn,direct）、关闭 GOSUMDB=off 快速验证，并精确设置 GOPRIVATE 避免私有模块被错误代理。
直接结论：这不是 Go 本身的问题，而是系统级 TCP 连接被中间设备（如企业防火墙、代理网关、DNS 污染）主动重置导致的，go get 或 go mod download 卡在 dial tcp ...:443: connectex 或类似错误时，90% 以上是这个原因。
为什么 dial tcp 错误本质是连接被重置，不是超时
典型错误如 dial tcp 142.251.42.241:443: connectex: A connection attempt failed because the connected party did not properly respond...，表面看像超时，但抓包会发现：三次握手的 SYN 包发出后，没收到 SYN-ACK，反而收到 RST（复位）包。这说明不是“对方没响应”，而是“中间设备拒绝了连接”——常见于企业出口网关拦截境外 HTTPS 域名（如 proxy.golang.org、sum.golang.org），或 DNS 返回了污染 IP 后连接被阻断。
- 仅靠换代理（
GOPROXY）不一定能解决，因为重置可能发生在代理域名解析后的新连接上 -
curl -v https://goproxy.cn成功 ≠ Go 能通，Go 的 HTTP 客户端对 TLS 版本、SNI、证书链更敏感 - Windows 上某些杀毒软件（如 360、腾讯电脑管家）会劫持 HTTPS 连接并注入自签名证书，导致 Go 校验失败并触发重置
GOPROXY 必须带 direct fallback 才能绕过重置链
单纯设 GOPROXY=https://goproxy.cn 仍可能失败：一旦 goproxy.cn 的某个上游模块源（比如它回源到 GitHub）被重置，整个请求就卡死。正确写法必须包含 direct 作为兜底：
go env -w GOPROXY="https://goproxy.cn,direct"
-
direct不是“不走代理”，而是“当代理返回 404/503 或连接失败时，尝试直连模块原始 URL” - 多级 fallback 更稳：
go env -w GOPROXY="https://mirrors.tuna.tsinghua.edu.cn/go/modules/,https://goproxy.cn,direct" - 注意引号：Linux/macOS 必须用双引号包裹含逗号的值，否则 shell 会截断
- IDE 内置终端（如 VS Code 的 integrated terminal）可能不继承系统环境变量，务必在 IDE 里也执行一遍
go env -w
GOSUMDB=off 是绕过重置最有效的临时手段
校验步骤（访问 sum.golang.org）极易被重置，且失败后不会 fallback，直接中断下载。关闭校验是最快速验证是否为重置问题的方法：
立即学习“go语言免费学习笔记（深入）”；
go env -w GOSUMDB=off
- 仅限开发/调试环境使用，CI/生产环境应保留校验或配可信镜像（如
GOSUMDB=sum.golang.org+<code>https://goproxy.cn/sum） - 关闭后若下载立即成功，基本可确认是
sum.golang.org连接被重置 - 不要长期开启，否则无法发现依赖被篡改的风险
- 配合
go clean -modcache使用，避免缓存中残留校验失败的半成品模块
私有模块 403 或 lookup failed？GOPRIVATE 必须精确匹配
当企业内网 Git 或 GitHub 私有库被错误转发给公共代理时，代理返回 403 或 404，实际是连接被重置前的 HTTP 层表现。关键不是权限，是路由错位：
go env -w GOPRIVATE="git.internal.company,github.com/my-team/*"
- 域名不能带协议（
https://）、不能带端口（除非非标准端口）、不能有空格 - 通配符
*只匹配一级路径，github.com/my-team/private-repo✅，github.com/my-team/private-repo/submodule❌（需显式列出或升级为github.com/my-team/**，但 Go 目前不支持双星号） - SSH 地址（
git@github.com:my-team/repo）会被 Go 自动转成 HTTPS 格式校验，所以GOPRIVATE仍要按 HTTPS 域名写 - 若仍失败，用
go mod download -v观察最后一行：如果卡在git -c ... clone，说明是 Git 层连接问题，和 Go 的GOPROXY无关
真正难处理的不是配置本身，而是重置行为的隐蔽性——它不报错码，不返回内容，只让连接无声消失。每次改完配置，务必用 go mod download -v 看真实请求路径和状态码，而不是只信终端是否“没报错”。
