go get @version 通过直接修改 go.mod 中的 require 行并重写 go.sum 来锁定版本，例如执行 go get github.com/sirupsen/logrus@v1.9.3 后，go.mod 更新为 require github.com/sirupsen/logrus v1.9.3，且校验和同步对齐。
go get @version 是怎么锁定版本的
它不是“加个参数就锁住”，而是直接改 go.mod 里的 require 行，并重写 go.sum。执行 go get github.com/sirupsen/logrus@v1.9.3 后，go.mod 中对应行会变成：require github.com/sirupsen/logrus v1.9.3，同时本地缓存和校验和全部对齐到该 commit。
常见错误现象：
• CI 构建失败报 checksum mismatch，往往是因为某次 go get @version 拉下了带冲突间接依赖的新版，但 go.sum 没被完整刷新
• 本地 go.mod 被意外提交，只因开发时随手敲了 go get 没加 -d
- 想下载不改
go.mod？必须加-d：go get -d github.com/sirupsen/logrus@v1.9.3 - 模块已存在，
@version是升级/降级；不存在，则是首次添加 - Go 1.21+ 默认
GOPROXY=direct时，@version可能 fallback 到 VCS 解析，结果不稳定——务必配好可信代理，比如GOPROXY=https://proxy.golang.org,direct
模糊匹配（如 ^1.2.0）到底选哪个版本
Go 不支持 npm 那种 caret（^）或 tilde（~）语法。所谓“模糊匹配”其实是误解——Go 的 go.mod 里不允许写 ^1.2.0 或 ~1.2.0，所有 require 行必须是明确的语义化版本（v1.2.3）或伪版本（v0.0.0-20230405102030-abc123def456）。
真正发生“模糊选择”的场景，只出现在你没显式指定版本时：
立即学习“go语言免费学习笔记（深入）”；
-
go get github.com/sirupsen/logrus（不带@）→ Go 按 MVS（最小版本选择）算法，找满足所有依赖约束的最新兼容版，比如v1.9.3 -
go get github.com/sirupsen/logrus@latest→ 等价于拉最新 tag，可能跳过中间 patch 版本，甚至落到 pre-release 上 -
go mod tidy→ 会补全缺失的require，并按 MVS 选一个版本填进去，不是“保持原样”
所以，“模糊”不是语法特性，而是操作习惯导致的被动选择。要杜绝它，就得把 require 行写死。
伪版本（v0.0.0-...）比 tag 更精确
当你用 go get github.com/user/repo@abc123def 或模块没打合规 tag（比如漏了 v 前缀），Go 就会生成伪版本，例如：github.com/user/repo v0.0.0-20230405102030-abc123def456
这个字符串不是随便拼的：
• 时间戳来自 commit 的 author date
• 后缀是 commit id 的缩写
• 它本质是“锁定到那个 commit”，比 v1.2.3 还稳定——只要该 commit 不被 force-push 覆盖，就始终可重现
- 查当前实际解析出的版本（含伪版本）：
go list -m -f '{{.Version}}' github.com/user/repo - 手动编辑
go.mod写入伪版本完全合法，且推荐用于未发版的内部库或 hotfix 分支 - 不要以为伪版本是“临时方案”——它是 Go Module 的一等公民，和正式 tag 具有同等效力
replace 不是版本锁定，是临时覆盖
replace 的作用不是“锁定”，而是“强制替换路径或 commit”。它优先级高于 require，但仅限当前 module 生效，且无法跨环境移植。
典型误用：
• 把 replace github.com/sirupsen/logrus => ./logrus 提交进团队仓库 → 别人 go build 直接失败
• 用 replace 替代 require 来长期固定版本 → CI 换机器就失效
- 适用场景只有两类：调试本地 patch、对接私有镜像（如
replace github.com/sirupsen/logrus => git.internal.com/my/logrus v1.9.3） - 如果同时用了
go get @version和replace，go list -m all显示的是 replace 后的结果，但go mod graph仍会暴露原始依赖链，容易掩盖冲突源头 - 真正需要长期锁定，请直接改
require行 + 提交go.sum，而不是依赖replace
最容易被忽略的点：伪版本的时间戳来自 author date，不是 commit date；而 go.sum 校验的是 zip 包和 go.mod 文件的 SHA256，删了它会导致构建中断——它不参与版本选择，但一旦缺失或不匹配，整个构建就停在第一步。
