根本原因是Go不读取Git凭据或环境变量token，只依赖Git的credential.helper；需配置Git凭据助手（如git config --global credential."https://domain".helper）并设GOPRIVATE跳过代理，二者缺一不可。
私有仓库拉取失败时，go get 报 401 Unauthorized 怎么办
根本原因不是 Go 本身不支持认证，而是它默认不读取 Git 凭据或环境变量里的 token。Go 模块下载走的是 Git 协议（如 https://gitlab.example.com/group/repo.git），而 go get 不会自动把 GIT_TOKEN 或 GITHUB_TOKEN 塞进 HTTP Header；它只依赖 Git 自己的凭据系统。
解决路径只有一条：让 Git 知道对某个域名该用什么凭证。Go 会复用 Git 的 credential.helper 配置，所以重点在 Git 层配置，而非 Go 层。
- 确认私有仓库地址是 HTTPS 形式（不是 SSH），否则 Git 凭据机制不生效
- 不要尝试在
go env -w GOPRIVATE=*.example.com后直接加 token —— 这个变量只控制是否跳过校验，不提供认证 - 若用 GitHub/GitLab，确保 token 有
read_package_registry或api权限（GitLab 需read_api）
用 git config 配置 HTTPS 凭据助手
最稳定、跨平台的方式是配置 Git 的 credential.helper，让它对匹配域名自动注入 token。不需要改 Go 代码，也不依赖 shell 环境变量持久性。
以 GitLab 私有域 gitlab.example.com 为例：
git config --global credential."https://gitlab.example.com".helper '!f() { echo "username=git"; echo "password=$1"; }; f "$GIT_TOKEN"'
注意这里用了 shell 函数内联方式，避免 token 泄露到进程列表或历史命令中。等效但更安全的做法是写成脚本文件再引用，不过对多数 CI/本地开发，上面一行足够。
-
git config --global credential.helper store不推荐：密码明文落盘，且不能动态插值 - 如果已设过
credential.helper cache，需先清除缓存：git credential reject <<< "https://gitlab.example.com" - 验证是否生效：运行
git ls-remote https://gitlab.example.com/group/repo.git HEAD，成功即表示凭据可用
GOPRIVATE 和 GOINSECURE 的真实作用边界
GOPRIVATE 只影响 Go 是否对模块执行 checksum 校验和代理转发，跟认证完全无关。它告诉 Go：“这个域名下的模块，别走 GOPROXY，也别校验 checksum”。没有它，go get 会先尝试从 proxy 下载，失败后才回退到 direct，而 proxy 根本拿不到你的 token。
典型配置：
go env -w GOPRIVATE="gitlab.example.com,github.company.internal" go env -w GOPROXY="https://proxy.golang.org,direct"
-
GOINSECURE仅用于 HTTP（非 HTTPS）私有源，生产环境禁用；它绕过 TLS 校验，不解决认证问题 - 若私有仓库用自签名证书，应配
GIT_SSL_NO_VERIFY=true，而不是开GOINSECURE - 多个域名用逗号分隔，支持通配符（如
*.example.com），但不支持正则
CI 环境下 token 注入的常见翻车点
GitHub Actions、GitLab CI 等场景里，token 往往来自 secrets，但直接 export 成环境变量再塞给 Git 凭据函数，容易因 shell 插值时机出错，或被日志打印泄露。
- GitHub Actions 中，避免用
env: { GIT_TOKEN: ${{ secrets.GIT_TOKEN }} }+git config内联函数 —— secrets 在run步骤中才解密，而git config命令在解析阶段就执行了 - 稳妥做法：在 job 开头用
echo "${{ secrets.GIT_TOKEN }}" > ~/.git-credentials，再配git config --global credential.helper store（仅限单次 job，无持久风险） - GitLab CI 推荐用
before_script动态生成.netrc：echo "machine gitlab.example.com login git password $GIT_TOKEN" > ~/.netrc，并确保chmod 600 ~/.netrc - 所有方案都必须配合
GOPRIVATE，否则 Go 仍会优先走 proxy 并 403
真正卡住人的往往不是语法，而是 Git 凭据链路和 Go 模块路由逻辑的叠加：Git 负责“怎么连”，Go 负责“连谁”和“要不要校验”，两者必须各司其职，缺一不可。
