go.sum 是模块校验快照而非版本锁文件，记录所有 .go 文件与 go.mod 的 SHA-256 哈希，用于构建时验证完整性；GOSUMDB 是带密码学证明的透明日志服务，不可关闭或自建镜像，必须与 go.mod 同步提交。
go.sum 不是“锁文件”，而是校验快照
很多人误以为 go.sum 是类似 package-lock.json 的版本锁定文件，其实它只存哈希，不控制版本选择。它的作用是在每次构建或下载时，重新计算本地模块内容的 SHA-256 值，并与记录比对。不一致就报 verifying github.com/some/pkg@v1.2.3: checksum mismatch，直接中断流程。
关键点在于：这个哈希基于模块根目录下所有 .go 文件 + go.mod 内容生成，不含测试、文档或构建产物；同一版本在不同机器上哈希完全一致；但若你用 replace 指向本地路径，go.sum 记的就是那个路径内容的哈希——换机器就崩。
-
go.sum必须和go.mod一起提交到 Git，否则 CI 构建、新同事拉代码时会失去校验能力 -
go mod tidy会删掉未引用的条目，但可能误删间接依赖的校验行（比如某依赖的子依赖没被直接 import，但实际被用到了） -
go mod vendor不改go.sum，且vendor/目录本身不参与哈希校验——它只是分发手段，不是安全替代
GOSUMDB 不是“可选开关”，而是校验链路的公证方
GOSUMDB 默认值是 sum.golang.org，但它干的不是“查数据库”这么简单的事。它提供的是带密码学证明的透明日志（Transparent Log）服务：每次查询返回的哈希值都附带默克尔树路径证明，客户端用硬编码公钥验证签名，确保响应未被中间人篡改。
这意味着：即使你配置了 GOPROXY=https://goproxy.cn，go 工具链仍会单独请求 sum.golang.org（或你设的镜像）来校验——它不走代理，也不信任代理返回的哈希。
立即学习“go语言免费学习笔记（深入）”；
- 国内常见失败原因是 DNS 污染或防火墙拦截导致
sum.golang.org解析失败或返回伪造响应，而不是模块本身有问题 - 优先用官方中国镜像：
go env -w GOSUMDB=sum.golang.google.cn，它 HTTPS 可信，无需额外证书 - 绝对避免设
GOSUMDB=off——这等于放弃所有依赖完整性保护，go.sum变成摆设，后续构建全靠“运气”
为什么不能自建公开 sumdb 镜像？
你可能会看到“搭建内网 sumdb”的说法，但 Go 官方明确不支持第三方运营公开 sum.golang.org 镜像。原因很硬核：所有响应必须由 Go 团队私钥签名，客户端只认硬编码的那几把公钥。你搭个 HTTP 服务返回同样的哈希，go 工具链根本不会验签通过。
GOSUMDB 的值格式是 name[+https://url]，例如 sum.golang.org+https://sum.golang.org。其中 name 决定用哪把公钥验签，url 只是请求地址。想换源，只能换名字匹配的可信签名源。
- 所谓“自建 sumdb”通常只是缓存代理（如 Athens），它不提供校验和，只加速下载；校验仍需回源
sum.golang.org - 企业内网唯一合法路径是申请 Go 团队授权使用其签名密钥（几乎不开放），或接受离线模式（
GOSUMDB=off+ 人工审计go.sum） - 调试私有不可达模块时，用
go get -insecure配合GOINSECURE=example.com更精准，且仅限指定域名
校验失败时，别急着关 GOSUMDB
当 go get 或 go build 卡在 fetching sum.golang.org/lookup/ 或报 403，第一反应不该是 GOSUMDB=off，而应检查网络链路是否被干扰。
典型排查顺序是：确认 sum.golang.org 或你设的镜像能否 curl 通；检查是否误配 GOINSECURE 泄露了私有域名到公共代理；确认 GOPROXY 是否包含 direct（否则 sum.golang.org 请求也可能被代理劫持）。
-
go clean -modcache后重试，排除本地缓存污染 - 执行
go mod verify可单独触发校验流程，快速定位是哪一层出问题 - 真正要绕过校验的场景极少，比如调试一个尚未发布到任何仓库的临时模块，此时
go get -insecure比全局关GOSUMDB安全得多
go.sum 当作可忽略的辅助文件，或把 GOSUMDB 当作“网络不好就关掉”的普通开关——它其实是整个 Go 供应链里最沉默也最关键的守门人。 
