因为单个GOPROXY镜像（如https://goproxy.cn）不收录私有模块（如git.example.com/internal/lib），Go遇到404/410时不会fallback，且公共代理不提供私有仓库所需的go-get元标签和API端点。
为什么直接设置 GOPROXY=https://goproxy.cn 会失败？
因为私有模块（比如 git.example.com/internal/lib）默认不被公共代理收录，go mod download 会返回 404 Not Found 或 410 Gone。Go 的模块代理协议要求：代理必须能解析 module?go-get=1 页面、提供 /@v/list 和 /@v/xxx.info 等端点，而普通 Git 服务器不提供这些。
用 athens 搭建私有 GOPROXY 的关键配置
Athens 是最轻量、兼容性最好的私有代理方案，它能缓存公共模块，同时透传私有模块请求到指定 VCS（如 GitLab、GitHub Enterprise）。启动时需明确区分「哪些模块走代理」「哪些直连」：
- 设置
GOPROXY为http://localhost:3000（athens 默认端口） - 通过
GOINSECURE放行私有域名：GOINSECURE=git.example.com（否则 TLS 验证失败） - 在 athens 配置中用
replace或exclude控制路由：proxy: allowed: ["*"] excluded: ["git.example.com/*"]
这样git.example.com的模块就不会被缓存，而是由 athens 直接代理到后端 Git 服务器 - 确保私有仓库支持
go get所需的 HTTP 路由，例如访问https://git.example.com/internal/lib?go-get=1应返回含<meta name="go-import" ...>的 HTML
不用代理，仅靠 GOPRIVATE 绕过 GOPROXY 的场景
如果私有模块只在内网使用，且 Git 服务器已支持 go-get 协议（如自建 GitLab + go-import meta），可跳过代理，直接让 Go 工具链直连：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 设置
GOPRIVATE=git.example.com/*—— 这会让所有匹配域名的模块跳过GOPROXY和GOSUMDB - 必须同时设
GOINSECURE=git.example.com（若用 HTTP）或确保 Git 服务器有合法 TLS 证书 -
go mod tidy时，Go 会尝试git clone或 HTTPgo-get协议拉取，失败常见原因：fatal: repository 'https://git.example.com/internal/lib/' not found（权限问题）、invalid version: unknown revision（tag 未打或未推）
模块路径与 Git 仓库 URL 不一致时的坑
Go 模块路径（module 声明）必须和实际 Git 地址可映射，否则 go get 无法定位。例如：
立即学习“go语言免费学习笔记（深入）”；
- 模块声明为
module git.example.com/internal/lib，但仓库实际地址是https://git.example.com/group/lib.git→ 必须确保?go-get=1返回的go-importmeta 中content值为git.example.com/internal/lib git https://git.example.com/group/lib.git - 若用 SSH 地址（
git@git.example.com:group/lib.git），go工具链默认不支持，需改用 HTTPS 或配置~/.gitconfig的insteadOf规则 - 私有模块的
go.mod文件里不能出现公共代理能解析的路径（如误写成github.com/company/lib），否则go mod download会去公共源找，找不到就报错
真正卡住人的往往不是代理怎么搭，而是模块路径、Git 服务暴露方式、meta 标签三者没对齐。调 curl -v https://git.example.com/internal/lib?go-get=1 看响应头和 body，比查日志更快定位问题。
