Go模块依赖管理不提供自动脱敏，私有模块路径、版本、校验和均明文存储于go.mod/go.sum中；真正有效的脱敏需统一使用无业务含义的模块前缀（如corp.example.com/m）、配置GOPRIVATE与GONOSUMDB跳过代理和校验，并通过pre-commit hook过滤replace及CI预置凭据确保安全拉取。
Go 模块依赖管理本身不涉及“脱敏”——闭源模块的路径、版本、校验信息都是明文写在 go.mod 和 go.sum 里的，所谓“脱敏”其实是防止敏感信息泄露（如私有域名、内部路径、分支名、commit hash）被提交到公开仓库或暴露给外部协作者。这不是加密，而是控制可见性与访问边界。
为什么不能靠 replace 或 go.sum 隐藏私有模块信息
replace 指令会直接把原始模块路径替换成本地路径或镜像地址，但它本身就会出现在 go.mod 中，比如：replace github.com/yourcorp/internal-auth => ./internal/auth
这条语句一旦提交，就等于暴露了内部模块名 internal-auth 和目录结构。同理，go.sum 里记录的是每个模块的校验和，但它的 key 是模块路径 + 版本，照样包含私有域名。
- git commit 前没过滤，
go.mod里带git.yourcorp.com/...就等于把内网地址钉在历史里 -
go.sum中的github.com/yourcorp/xxx@v0.1.0 h1:...行无法自动隐藏，也不能删——删了go mod verify直接失败 - CI 构建时若未配置
GOPRIVATE，Go 会尝试走代理拉取私有模块，报 403 或 timeout，掩盖不了路径本身
真正有效的“脱敏”动作只有三步
不是改代码，是改流程和配置：
- 所有私有模块路径必须使用统一、无业务含义的前缀，例如
corp.example.com/m，而不是git.internal.yourcorp.com/auth-service；避免在模块路径中暴露部门、服务名、环境等信息 - 设置
GOPRIVATE=corp.example.com（或通配符*.example.com），确保 Go 工具链跳过代理、不校验 checksum（需配合GONOSUMDB），否则go get会因无法验证而失败 - 开发机和 CI 的
~/.gitignore或项目级.gitignore必须包含/go.mod的 diff 过滤规则——更实际的做法是：用 pre-commit hook 自动清理replace行，或只允许replace出现在go.mod.local这类不提交的文件中
CI/CD 中如何安全解析私有模块
构建环境不能依赖开发者本地的 replace 或 GO111MODULE=off 回退到 GOPATH。必须让 go mod download 原生支持私有源：
- CI runner 必须预置 SSH key 或 token，能通过 git 协议或 HTTPS 访问私有仓库（如
ssh://git@git.example.com/corp/internal-auth.git） - 在 CI 脚本开头运行：
go env -w GOPRIVATE=corp.example.comgo env -w GONOSUMDB=corp.example.com - 禁止在 CI 中执行
go mod edit -replace——这会导致构建产物依赖本地路径，上线即 panic - 验证是否生效：
go list -m all | grep corp.example.com应显示真实远程路径，而非=> ./xxx
真正的难点不在语法，而在组织层面：模块路径命名权、GOPRIVATE 域名策略、CI 凭据分发机制，这三项漏一，所谓“脱敏”就是掩耳盗铃。
