go mod tidy 不会自动升级依赖，它只选择满足约束的最小可行版本；如需升级，须显式执行 go get 命令指定版本，或使用 go get -u 批量更新，但需谨慎评估兼容性。
go mod tidy 为什么没更新到目标版本
执行 go mod tidy 后依赖没变，不是命令失效，而是 Go 默认只拉取满足约束的「最小可行版本」。比如 require github.com/go-mysql-org/go-mysql v1.13.0 已存在，即使 v1.14.0 发布了，go mod tidy 也不会主动升级。
- 想强制升级：运行
go get github.com/go-mysql-org/go-mysql@v1.14.0 - 想批量升级所有直接依赖：用
go get -u（但慎用，可能带入不兼容变更） - 升级后务必检查
go.mod中是否出现// indirect标记——它表示该模块是间接依赖，你没直接 import，但被其他包引入；这类依赖通常不该手动指定版本
replace 替换本地调试版依赖的正确写法
开发中常需临时替换远程模块为本地修改版，但 replace 写错会导致构建失败或 IDE 无法识别符号。
- 路径必须是绝对路径或相对于
go.mod的相对路径，不能用~/或环境变量：正确写法是replace github.com/go-mysql-org/go-mysql => ../go-mysql - 如果本地模块有
go.mod，它的module名必须和被替换的原始路径一致，否则go build会报错cannot load ...: module ... is not in GOROOT -
replace只在当前模块生效，子模块不会继承；若要全局生效，得在每个用到该依赖的模块里单独加
v2+ 版本导入路径不匹配导致重复加载
升级 github.com/auth0/go-jwt-middleware 到 v3 时，编译通过但运行时报错 duplicate registration of /auth，本质是 v2 和 v3 被同时加载——因为没改导入路径。
- Go 要求 major 版本 ≥ v2 的模块，导入路径必须含版本后缀：旧代码
import "github.com/auth0/go-jwt-middleware"必须改为import "github.com/auth0/go-jwt-middleware/v3" - 如果项目里既有 v2 又有 v3 的 import，
go list -m all会显示两行，说明它们被当作不同模块加载 - 别依赖 IDE 自动修复：VS Code 的「Quick Fix」可能只改 import 不动
go.mod，结果go mod tidy又把旧版本拉回来
go.sum 校验失败怎么安全清理
go build 报错 verifying github.com/xxx@v1.2.3: checksum mismatch，常见于团队协作中有人手动改过 go.sum 或用了镜像源下载不完整。
- 不要直接删
go.sum文件——这会让后续构建失去校验依据 - 先运行
go clean -modcache清掉本地缓存，再执行go mod download重新拉取所有依赖并生成新go.sum - 若仍失败，检查 GOPROXY 是否配置了不可信镜像；临时切回官方源：
export GOPROXY=https://proxy.golang.org,direct
go list -m all 输出，再结合实际调用点验证。 
