Go不处理TLS证书，x509错误源于git命令校验失败；需将内网CA加入系统信任库、配置git sslCAInfo或临时禁用sslVerify（仅开发），GOPRIVATE对此无影响。
私有证书库不是 Go 模块依赖下载的必需组件，Go 本身不提供“私有证书库”概念；真正需要的是让 Go 的模块拉取流程信任你的私有 Git 服务器证书（如自签名、内网 CA 签发），同时确保 git 命令能正常校验证书——Go 只是调用系统 git，它自己不处理 TLS 证书。
为什么 go get 报 x509 certificate signed by unknown authority
这不是 Go 模块配置错误，而是系统 git 在执行 git clone https://git.internal.company.com/xxx 时拒绝了服务端证书。Go 完全不参与证书校验，只把 URL 交给 git 处理。
- 现象：运行
go get git.internal.company.com/team/lib报错x509 certificate signed by unknown authority - 验证方式：手动执行
git clone https://git.internal.company.com/team/lib，如果同样失败，就确认是 Git 层证书问题 - 根本原因：Git 默认使用系统 CA 信任链，而你的私有 Git 服务器证书不在其中（比如用了自签名、或内网 CA）
让 git 信任私有证书的三种可行方式
选一种即可，优先推荐方案 1（全局可信）或方案 2（项目级隔离）；方案 3 仅用于临时调试，不可上生产。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
-
方案 1：将内网 CA 证书加入系统信任库
Linux（CentOS/RHEL）：把ca-bundle.crt（你的内网根证书）追加到/etc/pki/tls/certs/ca-bundle.crt，然后运行update-ca-trust
macOS：双击证书 → “钥匙串访问” → 拖入“系统”钥匙串 → 右键证书 → “显示简介” → “信任” → 设为“始终信任” -
方案 2：配置 Git 使用自定义 CA 包
执行：git config --global http."https://git.internal.company.com/".sslCAInfo /path/to/internal-ca.crt
注意路径必须是绝对路径；若 Git 版本 ≥ 2.35，还可配合http.sslBackend=openssl显式指定后端 -
方案 3：禁用 Git SSL 校验（仅限开发环境）
git config --global http.sslVerify false—— 这会绕过所有 HTTPS 证书检查，等同于明文传输，严禁在 CI 或生产机器上设置
GOPRIVATE 和证书配置的关系
GOPRIVATE 不影响证书行为，它只决定 Go 是否跳过代理和 checksum 校验。即使你已正确配置 GOPRIVATE=git.internal.company.com/**，只要 git clone 因证书失败，go get 仍会卡住。
立即学习“go语言免费学习笔记（深入）”；
- 常见误区：以为设了
GOPRIVATE就万事大吉，结果还是报证书错误 → 实际是git层没通 -
GOPRIVATE必须包含完整域名+端口（如有），例如git.internal.company.com:8443，不能省略 :8443 - 如果 Git 用 SSH（
git@git.internal.company.com:team/lib），则完全不走 HTTPS/TLS，也就不存在证书问题——但需确保 SSH agent 已加载密钥且ssh -T git@git.internal.company.com能通
最易被忽略的点：CI 环境里 Git 的证书信任是空白的，即使本地 OK，CI job 仍会失败；必须显式注入 CA 证书并配置 git config，或在容器启动时挂载证书到系统信任库。Go 本身从不碰证书，别在 go env 里找相关配置项。
