go mod download 卡在 proxy.golang.org 是因多级代理下 HTTPS 请求被中间设备拦截或丢包，非 GOPROXY 配置错误；需通过 go mod download -x 日志和 tcpdump 抓包逐层验证请求是否真正抵达目标代理。
go mod download 卡在 proxy.golang.org 是网络链路问题，不是代理配置错
多级代理（比如公司出口网关 + 本地 HTTP 代理 + DNS 转发）下，go mod download 表现常为：卡住几秒后报 dial tcp: i/o timeout 或直接 fallback 到 git clone，根本原因是 Go 工具链发起的 HTTPS 请求被某一级中间设备拦截、重定向或静默丢包，而非 GOPROXY 没设对。
此时仅改 GOPROXY 值无法解决，必须让请求绕过干扰层。关键判断点是看 go mod download -x 日志里是否出现 GET https://goproxy.cn/... —— 如果仍看到 proxy.golang.org 或 git://，说明请求压根没走到代理层。
- 先确认当前终端是否继承了
GOPROXY：执行echo $GOPROXY，不是go env GOPROXY；后者只显示配置项，不反映子进程实际环境 - 若
echo $GOPROXY为空，说明 shell 没导出变量，go env -w GOPROXY=...不会自动export，需补export GOPROXY=... - 某些企业网关会强制劫持所有 HTTPS CONNECT 请求，导致 TLS 握手失败；此时即使
GOPROXY正确，也会退回到直连模式
HTTP 代理和 GOPROXY 必须分层配合，不能混用
Go 的模块下载走的是独立 HTTP 客户端，不复用系统 http_proxy 环境变量 —— 这是常见误解。它只认 GOPROXY 和 GONOPROXY，但若你同时设置了 http_proxy，反而可能触发冲突：Go 会先尝试走 GOPROXY，失败后 fallback 到 direct，而 direct 又受 http_proxy 影响，最终走错路径。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 禁用系统代理干扰：临时清空
http_proxy和https_proxy，运行unset http_proxy https_proxy - 只保留
GOPROXY=https://goproxy.cn,direct，确保所有模块请求都明确导向镜像站 - 私有模块（如
git.internal.company.com）必须加GOPRIVATE=git.internal.company.com，否则 Go 仍会试图通过GOPROXY查询其@v/list，导致 404 或超时 - 若公司内网 Git 需要认证，
GOPRIVATE只是跳过代理，仍依赖 git 自身配置（如git config --global http.https://git.internal.company.com.extraheader）
验证代理是否穿透多级网络，别只信 go env 输出
go env GOPROXY 显示正确 ≠ 请求真发到了 goproxy.cn。多级代理环境下，真正要验证的是 Go 进程发出的原始请求是否抵达目标地址、是否被中间设备改写或丢弃。
立即学习“go语言免费学习笔记（深入）”；
- 用
go mod download -x github.com/spf13/cobra@v1.4.0观察输出中第一行类似GET https://goproxy.cn/github.com/spf13/cobra/@v/v1.4.0.info的 URL - 如果看到
GET https://proxy.golang.org/...或git clone https://github.com/spf13/cobra，说明GOPROXY未生效或被覆盖 - 进一步抓包验证：在终端执行命令前，用
tcpdump -i any port 443 -w go.pcap抓包，然后过滤目标 IP（如goproxy.cn的 A 记录 IP），确认是否有 TLS 握手成功 - 若抓包发现连接被重定向到内网某个 IP（如 10.x.x.x），说明公司网关做了 HTTPS 透明代理，需联系运维白名单
goproxy.cn域名
GOSUMDB 和 GONOSUMDB 必须与 GOPROXY 同步调整
多级代理下校验失败（checksum mismatch）往往不是缓存污染，而是校验服务被拦截。Go 默认从 sum.golang.org 获取哈希值，该域名在国内同样不稳定，且部分企业防火墙会主动阻断对它的访问，导致校验失败后 Go 自动 fallback 到 GOPROXY 提供的模块内容，但该内容又未附带正确哈希 —— 最终报错。
- 国内镜像站（如
goproxy.cn）默认透传sum.golang.org的校验记录，但前提是你的网络能连通sum.golang.org - 若连不通，应同步设置
GOSUMDB=off（仅调试）或GOSUMDB=sum.golang.google.cn（官方中国镜像，已支持） - 私有模块必须配
GONOSUMDB=git.internal.company.com，且值要和GOPRIVATE完全一致，否则 Go 仍会尝试校验，失败后拒绝拉取 - 切记：
GOSUMDB=off只用于定位问题，上线前必须恢复，否则失去依赖完整性保护
GOPROXY 设对只是第一步，后续每层设备（DNS、网关、HTTPS 中间件）都可能截断或改写请求，必须逐层验证，而不是反复重试不同镜像地址。 
