GOINSECURE仅跳过TLS证书校验，不解决认证、路径映射或代理问题；必须与GOPRIVATE配合使用，且依赖git的SSL配置，生产环境应配置CA证书而非依赖GOINSECURE。
GOINSECURE 只控制 TLS 跳过，不解决认证或路径解析问题
GOINSECURE 不是“让私有模块能用”的万能开关，它只告诉 Go：对匹配的域名跳过 HTTPS 证书校验（x509 certificate signed by unknown authority 错误）。它不管 Git 凭据、模块路径映射、代理路由或 GOPRIVATE 设置。如果你的私有 Git 服务用的是自签名证书或内网 CA，而没配 GOINSECURE，go mod download 就会直接失败。
常见错误现象：
Get "https://git.internal.company.com/group/lib/@v/list": x509: certificate signed by unknown authority- 设置了
GOPRIVATE=git.internal.company.com/**仍报证书错
实操建议：
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- 开发/测试环境可临时设
GOINSECURE=git.internal.company.com（仅限单域名，不支持通配符） - 生产环境应把内网 CA 证书加入系统信任链，或通过
git config --global http."https://git.internal.company.com/".sslCAInfo /path/to/ca.crt显式指定 -
GOINSECURE值不能带协议或路径，只写域名（如git.internal.company.com），多个用逗号分隔：GOINSECURE=git.internal.company.com,gitee.com/my-org - 注意空格：Linux/macOS 下
GOINSECURE=git.internal.company.com, gitee.com/my-org中的逗号后空格会导致第二项被截断
GOPRIVATE 必须与模块路径前缀完全对齐，否则 GOINSECURE 不生效
GOINSECURE 的作用前提是 Go 已识别该模块为“私有”——而这由 GOPRIVATE 决定。如果模块路径是 git.internal.company.com/team/utils，但 GOPRIVATE 设为 git.internal.company.com 或 *.company.com，Go 就不会触发 GOINSECURE 检查，仍走默认代理并校验证书。
立即学习“go语言免费学习笔记（深入）”；
实操建议：
- 必须用
**匹配任意深度子路径：GOPRIVATE=git.internal.company.com/** - 多个域名用英文逗号连接，**不能有空格**：
GOPRIVATE=git.internal.company.com/**,gitee.com/my-org/** - 模块路径（
go.mod第一行的module）必须与 Git 仓库 HTTPS 地址结构一致，例如仓库 URL 是https://git.internal.company.com/team/utils，则module必须是git.internal.company.com/team/utils - 不要写
GOPRIVATE=*.company.com—— Go 不支持域名通配，该配置完全无效
Git 的 SSL 配置优先级高于 GOINSECURE
Go 本身不发起 HTTPS 请求，go mod download 底层调用的是 git clone。所以即使 GOINSECURE 已设，如果 git 的全局 SSL 配置强制校验证书（比如 http.sslVerify=true），依然会失败。
实操建议：
- 检查 git 当前配置：
git config --get http.sslVerify，若输出true，需显式关闭：git config --global http.sslVerify false（仅限开发机） - 更安全的做法是禁用全局验证，只对特定域名关闭：
git config --global http."https://git.internal.company.com/".sslVerify false - 若用 SSH 协议（
git@git.internal.company.com:team/utils.git），GOINSECURE 完全不生效，也不需要；但需确保~/.ssh/id_rsa已加载且公钥已添加到 Git 服务 - HTTPS 和 SSH 不能混用：go 默认走 HTTPS，若要用 SSH，必须在
~/.gitconfig中配置insteadOf规则，例如：[url "git@git.internal.company.com:"] insteadOf = https://git.internal.company.com/
CI/CD 环境中 GOINSECURE 容易被覆盖或忽略
CI 流水线常复用基础镜像或脚本模板，GOINSECURE 很可能没被导出，或被后续 export 覆盖。此时 go mod tidy 看似成功，实际拉取的是代理缓存的公共模块（如果同名模块存在），导致运行时 panic 或行为异常。
实操建议：
- 在 CI 脚本开头显式设置并导出：
export GOPRIVATE=git.internal.company.com/** && export GOINSECURE=git.internal.company.com - 验证是否生效：
go env GOPRIVATE GOINSECURE，确认输出非空且值正确 - 避免在
go.mod中使用replace指向本地路径提交到 CI —— 这会让go mod download跳过远程拉取，掩盖证书配置问题 - CI 构建前加一步探测：
git ls-remote https://git.internal.company.com/team/utils.git HEAD || echo "Git access failed"，提前暴露认证或证书问题
GOINSECURE 的生效链条很窄：必须先匹配 GOPRIVATE → 触发跳过代理和 checksum 校验 → 才轮到 GOINSECURE 控制证书跳过 → 最终依赖 git 的实际网络行为。任何一个环节断开，错误表现都相似（404 / unknown revision / x509），但根因完全不同。
