不能直接用 goproxy.cn 或 proxy.golang.org，因容器默认无外网权限或企业策略禁止直连，且存在单点故障、DNS失败、证书错误导致超时或证书异常；自建 Athens 私有代理是唯一可控方案。
为什么不能直接用 goproxy.cn 或 proxy.golang.org
因为容器内默认无外网访问权限，或企业网络策略禁止直连公网代理；即便能连，也存在单点故障、域名解析失败、证书变更导致 go mod download 卡死在 dial tcp: i/o timeout 或 x509: certificate signed by unknown authority。自建本地源唯一可控路径。
用 Athens 搭建轻量级私有 Go 代理
Athens 是 CNCF 孵化项目，专为 Go module 设计，支持缓存、重写、离线 fallback，镜像小（gomods/athens:v0.32.0 仅 80MB），无需数据库。
- 启动命令（绑定宿主机 3000 端口，持久化缓存到
/data/athens）：docker run -d \ --name athens-proxy \ -v /data/athens:/var/lib/athens \ -p 3000:3000 \ -e ATHENS_DISK_STORAGE_ROOT=/var/lib/athens \ -e ATHENS_GO_PROXY_URL=http://localhost:3000 \ -e ATHENS_DOWNLOAD_MODE=sync \ gomods/athens:v0.32.0
- 验证是否就绪：
curl -I http://localhost:3000/healthz返回200 OK即可 - 注意：不要用
localhost当作容器内地址——若从其他容器调用，需用宿主机 IP 或 Docker 网络别名（如host.docker.internal）
让本地 Go 项目强制走这个代理
不是改 ~/.bashrc，而是项目级或容器级生效，避免污染全局环境。
- 在项目根目录执行：
go env -w GOPROXY=http://host.docker.internal:3000,direct - 若构建镜像时使用，Dockerfile 中加：
RUN go env -w GOPROXY=http://host.docker.internal:3000,direct
- 关键点：
direct必须保留，否则私有模块（如gitlab.example.com/internal/lib）会因无法解析而失败 - 测试是否生效：删掉
go.mod和go.sum，运行go mod download，观察 Athens 容器日志是否有INFO GET /github.com/sirupsen/logrus/@v/v1.14.0.info类似条目
处理私有仓库模块（如 GitLab、Gitee）
Athens 默认不自动鉴权，需显式配置重写规则 + 凭据注入。
- 创建
athens.config.toml（挂载进容器）：[module]</n [module."gitlab.example.com"]\n downloadURL = "https://gitlab.example.com/api/v4/projects/{project}/repository/archive.zip?sha={ref}"\n [module."gitlab.example.com".auth]\n username = "token"\n password = "glpat-xxxxxx" - 启动时挂载配置：
-v $(pwd)/athens.config.toml:/etc/athens/config.toml:ro - 同时设置环境变量：
-e ATHENS_CONFIG_FILE=/etc/athens/config.toml - 注意：GitLab token 权限至少要含
read_api；Gitee 需用access_token替代password
go mod download 可能稍慢，但后续完全离线可用。真正容易被忽略的是：**容器间网络互通性比代理 URL 更关键——哪怕配置全对，host.docker.internal 在某些 Docker Desktop 版本或 rootless 模式下不可用，此时必须用宿主机真实 IP 或自定义 bridge 网络 alias**。 
