go.sum缺失或校验失败直接触发安全扫描告警，因Snyk等工具依赖其哈希验证模块完整性；go mod download不生成go.sum，必须用go mod tidy完整刷新，且需正确配置GOPRIVATE、GOSUMDB等环境变量。

go.sum 文件缺失或校验失败直接导致安全扫描告警

安全扫描工具（如 Snyk、Trivy、GitLab Dependency Scanning）依赖 go.sum 中的哈希记录来验证每个模块是否被篡改。如果 go.sum 为空、条目不全，或某模块只有 go.mod 没有对应 .zip 校验行，扫描就会报 “missing signature”“no checksum found” 或 “insecure dependency”。这不是误报——Go 工具链本身在 go build 时也会拒绝加载未签名模块（除非关了 GOSUMDB）。

go mod download 不会补全 go.sum 已有模块的缺失条目

go mod download 只把源码拉进本地缓存（$GOPATH/pkg/mod/cache/download），它不触碰 go.sum，哪怕你删了整个 go.sum 再跑它，文件也不会自动生成。这是最容易踩的坑：以为“预下载”就等于“准备好校验”，结果 CI 扫描依然失败。

• 真正能完整生成/刷新 go.sum 的命令是 go mod tidy —— 它会解析 go.mod、拉取所有间接依赖、校验哈希、写入 go.sum
• 如果 go.mod 里有 replace 或 exclude，go mod tidy 仍会尝试校验被替换模块的原始版本（可能触发代理失败），此时需先确保 GOPROXY 和 GOPRIVATE 配置正确
• CI 中避免用 go mod download all 替代 go mod tidy；后者才是构建前的必做动作

私有模块没进 go.sum 的根本原因是 GOPRIVATE 没配对

当 go.mod 引用了 git.internal.company.com/mylib，但 GOPRIVATE 漏写了这个域名，Go 会强行把请求发给公共代理（比如 goproxy.cn），结果返回 404 或 403，go mod tidy 就卡住，go.sum 里自然没有这一行。扫描工具看到模块存在却无校验记录，立刻标红。

• 检查方式：go env GOPRIVATE 输出必须包含你的私有域名，支持通配符（如 git.internal.company.com,github.com/my-org/*），**逗号分隔、无空格**
• 若用 HTTPS 克隆，确保 Git 凭据已缓存：git config --global credential.helper store，然后手动 git clone 一次触发输入
• 若用 SSH，确认 go.mod 中模块路径是 git@... 格式，且 ~/.ssh/id_rsa 已添加到目标平台

GOSUMDB 配置错误会让 go.sum 生成中途失败

默认 GOSUMDB=sum.golang.org 在国内无法访问，go mod tidy 在校验阶段会卡住或超时，最终 go.sum 缺少最后几个模块的条目。别关 GOSUMDB=off 应对扫描——这等于放弃安全校验，扫描工具反而会报更严重的 “checksum verification disabled”。

• 正确做法是切到国内可用的校验服务：go env -w GOSUMDB=sum.golang.google.cn
• 验证是否生效：go env GOSUMDB 应输出 sum.golang.google.cn，不是空或 off
• 如果公司内网完全隔离外网，可设 GOSUMDB=off，但必须同步启用 go mod vendor 并将 vendor/ 提交进仓库，让扫描工具基于实际代码而非远程哈希做分析

最常被忽略的一点：安全扫描失败往往不是某个模块的问题，而是 go.sum 整体处于“半生成”状态——可能因一次中断的 go mod tidy、或混用了 go mod download 和手动编辑 go.sum。修复前先清掉缓存污染：go clean -modcache，再从干净状态重跑 go mod tidy。