checksum mismatch 错误根本原因是 go.sum 记录的哈希值与实际模块内容不匹配，主因包括上游 tag 被强制覆盖、代理缓存污染、本地缓存损坏或 go.sum 被手动修改；推荐先 go clean -modcache 并删除 go.sum，再用 go mod tidy 重建，必要时临时设 GOPROXY=direct 或 GOSUMDB=off（仅调试）。
为什么 go get 会报 checksum mismatch 错误
根本原因是 Go 的模块校验机制（go.sum）发现本地缓存或下载的模块内容，和之前记录的哈希值对不上。这不一定是网络问题，更常见的是：上游模块作者重新发布了同版本 tag（比如修复了 bug 但没改版本号）、私有仓库被覆盖、代理缓存污染、或者你本地 go.sum 被手动修改过。
如何安全跳过校验（仅限调试或可信环境）
临时绕过不是“修复”，而是快速验证是否真由校验导致失败。生产环境慎用：
- 加
-mod=readonly不会写入新依赖，但依然校验；真正跳过需配合GOSUMDB=off - 运行命令前设置环境变量：
GOSUMDB=off go get github.com/some/pkg@v1.2.3 - 或临时禁用（当前 shell 有效）：
export GOSUMDB=off，之后再go get - 注意：
GOSUMDB=off仅影响校验，不影响 proxy；若同时要用私有代理，还需配GOPROXY
正确更新 go.sum 文件的三种场景
多数人直接删 go.sum 重生成，但容易引入不一致。应按来源区分处理：
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 如果错误来自公共模块（如
golang.org/x/net），先确认是否用了国内代理（如https://goproxy.cn）且版本未被篡改；可尝试清空$GOPATH/pkg/mod/cache后重试 - 如果是自己维护的模块被重新打 tag，且确定新内容可信，运行
go mod verify看具体哪个模块失败，再用go mod tidy -v强制刷新go.sum - 若模块在私有 Git 仓库，确保
replace指向的 commit 或 tag 没变；否则go.sum里记录的哈希会失效，需删掉对应行后重新go mod download
长期避免 checksum mismatch 的配置建议
校验本身是安全机制，不该总绕过。关键在让 Go 工具链行为可预期：
立即学习“go语言免费学习笔记（深入）”；
- 始终使用
GO111MODULE=on（Go 1.16+ 默认开启，但 CI 中建议显式声明） - 统一代理和校验服务：例如设
GOPROXY=https://goproxy.cn,direct+GOSUMDB=sum.golang.org，避免混用不同源 - CI/CD 中禁止
GOSUMDB=off；若必须用私有模块，把sum.golang.org加入白名单或自建sumdb - 团队内共享
go.sum时，不要忽略它——它不是“可选文件”，而是模块完整性的快照
最常被忽略的是：很多人以为删掉 go.sum 就万事大吉，但下次 go mod download 会按当前模块树重新生成，可能拉到不兼容的间接依赖。真正的稳定，来自明确的版本锁定和可复现的模块树。
