go build卡在fetching sum.golang.org是因GOSUMDB未配置国内镜像或未配合GOPRIVATE，导致校验阶段超时；应设GOSUMDB=sum.golang.google.cn并正确配置GOPRIVATE与GONOSUMDB，CI中需显式设GOSUMDB=off。
go build卡在fetching sum.golang.org是GOSUMDB没配对
不是代理没设好，而是校验服务没跟上代理——GOPROXY能拉代码，GOSUMDB却还在连国外地址，导致构建中断。现象是go build或go mod download成功后，在校验阶段 hang 住几秒，然后报Get "https://sum.golang.org/lookup/xxx": dial tcp: i/o timeout。
-
GOSUMDB默认值是sum.golang.org，国内直连基本不可用，且它不走GOPROXY，必须单独配置 - 生产环境别直接设
GOSUMDB=off，那等于放弃完整性保护；应优先换为可信国内源：sum.golang.google.cn（官方中国镜像） - 若已部署内网
athens或goproxy.cn -sum服务，需确保其 URL 可被构建机访问，并显式设为GOSUMDB=https://goproxy.internal.company/sum - 验证是否生效：运行
go env GOSUMDB，输出必须是你设的值，不能是空或sum.golang.org
GOPRIVATE漏配会导致私有模块被错误送进校验流程
即使GOSUMDB设对了，只要GOPRIVATE没覆盖到你的私有域名，Go 就会尝试把git.corp.com/mylib这类路径也送去sum.golang.org校验，结果必然失败。
-
GOPRIVATE必须显式声明，通配符只支持*前缀，不支持*.corp.com这种二级嵌套写法；正确写法是GOPRIVATE=git.corp.com,github.com/my-org/private -
GOPRIVATE和GONOSUMDB建议保持一致：如果GOPRIVATE写了git.corp.com，GONOSUMDB也得加上它，否则校验仍会触发 - 检查方式：运行
go env GOPRIVATE GONOSUMDB，两个变量输出应完全匹配，且不含空格或换行 - 注意大小写：Git 域名区分大小写，
Git.Corp.Com和git.corp.com会被视为不同域名
CI 构建机上 vendor 后仍校验远程 sum 是因 GOSUMDB 没关
go mod vendor只是把依赖复制进vendor/目录，但 Go 默认仍会连接远程GOSUMDB做二次校验——除非你明确告诉它“别连”。这在 CI 环境中尤其致命，因为构建机通常无外网权限。
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- CI 脚本开头必须加两行：
go env -w GOPROXY=direct和go env -w GOSUMDB=off，顺序不能反 - 只设
GOPROXY=direct不够，GOSUMDB仍会尝试连sum.golang.org，报错信息藏在日志深处，容易误判为网络问题 - 若想保留校验能力，可提前用
go mod download预拉所有依赖，再用go mod verify本地校验一次，之后再设GOSUMDB=off执行构建 - 确认生效：在 CI 日志里搜
sum.golang.org，不应出现任何请求记录
checksum mismatch 报错时别急着关 GOSUMDB
这个错误常被误认为是GOSUMDB配置问题，实际多由缓存污染或镜像同步延迟引起。盲目关掉GOSUMDB会掩盖真实风险。
立即学习“go语言免费学习笔记（深入）”；
- 先清缓存：
go clean -modcache，再删项目根目录下的go.sum，最后跑go mod tidy重建 - 若仅某个模块报错，可用
go get -insecure github.com/xxx/yyy临时跳过该校验，但不要设GOINSECURE=*全局关闭 - 检查
go.mod里是否有replace指向本地路径却残留// indirect标记——这会让 Go 错误计算哈希值 - 最隐蔽的情况是模块作者
force push覆盖了已有 tag，此时唯一办法是改用 commit hash 锁定：go get github.com/xxx/yyy@abcd123
