go get @commit 失败的典型场景是 Go 工具链在 proxy 模式下只认远程已存在的 tag 或 pseudo-version，不主动 fetch 未 push 的 commit 或 shallow clone 中缺失的 commit；可靠方案是用 replace 指向本地已 checkout 的完整 Git 目录，绕过网络校验。
go get @commit 会失败的典型场景
直接执行 go get github.com/user/repo@abc123def 看似最直白，但实际极易报 unknown revision abc123def。这不是命令写错了，而是 Go 工具链在 proxy 模式下默认只认远程仓库已存在的 tag 或可解析的 pseudo-version，它不会主动去 fetch 你本地看到的 commit —— 尤其当该 commit 还没 push 到 origin，或远端 repo 是 shallow clone、没包含那个 commit 对象时。
常见触发条件：
- CI/CD 使用
--depth=1克隆主项目，但依赖库的 target commit 在更早历史里 - 你从 GitHub PR 页面复制了 merge commit hash，但本地没
git fetch origin过对应分支 - 模块托管在私有 GitLab/Gitee，且未配置
GOPRIVATE，proxy 拒绝转发请求
replace 指向本地目录才是最稳的 commit 锁定方式
真正绕过网络校验、强制使用指定 commit 的唯一可靠路径，是用 replace 指向本地已 checkout 好的完整 Git 工作目录。它不依赖远程是否存在、不走 proxy、不查 tag，只读取你磁盘上的真实文件。
操作要点：
立即学习“go语言免费学习笔记（深入）”；
- 先在项目外
git clone依赖库，cd进去git checkout abc123def，确认git log -1显示目标 commit - 在你的主项目
go.mod里加一行：replace github.com/user/repo => /absolute/path/to/local/repo（Windows 用反斜杠或正斜杠均可） - 立刻执行
go mod tidy -v，观察输出里是否出现replaced github.com/user/repo => ... - 验证：运行
go list -m github.com/user/repo，输出应为github.com/user/repo v0.0.0-00010101000000-000000000000（这是占位伪版本），但go list -m -f '{{.Dir}}' github.com/user/repo会返回你指定的本地路径
go.sum 里同一模块多行哈希不是错误，但要懂它代表什么
当你成功用 replace 锁定 commit 后，go.sum 很可能新增两行甚至三行，例如：
github.com/user/repo v0.0.0-00010101000000-000000000000 h1:xxx<br>github.com/user/repo v0.0.0-00010101000000-000000000000/go.mod h1:yyy
这两行分别校验：h1:xxx 是你本地目录解压后源码 zip 的 SHA256（base64 编码），h1:yyy 是该目录下 go.mod 文件内容的哈希。它们共同构成“你此刻正在用的这个 commit”的指纹。
关键点：
- 不要手动删任何一行 —— 即使你觉得冗余。删了会导致下次
go build报checksum mismatch - 如果后续你
git checkout切换到另一个 commit 并再次go mod tidy，Go 会自动更新这两行哈希，旧值不会残留 -
go mod tidy -v不会清理这些行，因为replace使该模块仍被go.mod显式引用
CI/CD 中 commit 锁定最容易被破坏的操作
本地能跑通，CI 却构建失败？大概率是流水线脚本里藏了静默破坏 replace 的命令。
必须规避的行为：
-
go get -u：它会扫描所有间接依赖，一旦发现某个被replace的模块在其他地方 require 了 tagged 版本，就可能把replace行整个删掉 -
go mod tidy前没确保依赖库 repo 已完整 fetch：比如用git submodule update --init但没加--recursive，或没运行git -C ./vendor/repo fetch origin - 构建镜像里 GOPROXY 设为
https://proxy.golang.org却没配GOPRIVATE：私有库的replace会被忽略，转而尝试从 proxy 下载，必然失败
真正安全的做法，是在 CI 脚本开头就 git fetch --unshallow || true，并显式声明 GOPRIVATE=*.corp.example.com，之后所有 go 命令都带 -x 参数输出调试日志——commit 锁定的脆弱性，往往藏在自动化流程的默认行为里。
