go mod download卡在dial tcp: i/o timeout表明问题出在TCP连接建立阶段，非模块本身故障；应先go mod download -v定位最后URL，再用curl复现——若报(6) Could not resolve host则为DNS问题，(7) Failed to connect则为网络拦截或丢包；需同时设GOPROXY=off和GOSUMDB=off，并检查GOPRIVATE通配符覆盖完整性。
go mod download 卡在 dial tcp: i/o timeout 怎么快速定位
这不是模块本身的问题，而是 Go 工具链在 DNS 解析或 TCP 建连阶段被多级网关拦截或丢包。默认 net.Dial 不设超时，会卡住几十秒甚至更久，且 Ctrl+C 无效。
先执行 go mod download -v，看最后一条 curl 请求发往哪个 URL；再手动复制该命令跑一遍，区分是 DNS 失败（curl: (6) Could not resolve host）还是 connect 超时（curl: (7) Failed to connect to ... port 443: Connection refused）。
若确认是 DNS 慢或不准，临时加环境变量：go env -w GODEBUG=netdns=cgo，强制走系统 DNS 解析器；若仍失败，说明网关策略已阻断 outbound 443 流量，必须走内网代理或离线缓存。
GOPROXY=off 和 GOSUMDB=off 必须同时关闭
只设 GOPROXY=off 不够——Go 仍会尝试连接 sum.golang.org 校验 go.sum，而多级网关通常连这个域名也拦死。
两个开关缺一不可：
go env -w GOPROXY=offgo env -w GOSUMDB=off
验证是否生效：go env GOPROXY GOSUMDB 输出应为 off off。注意：关闭校验后，依赖完整性完全依赖你本地 $GOMODCACHE 的可信度，离线缓存必须来自可信源。
私有模块拉取失败，90% 是 GOPRIVATE 配置不全
企业内网常见情况：GitLab 地址是 git.internal.company.com，但 GOPRIVATE 只写了 git.company.com，导致 Go 仍把请求发给外网代理，返回 403 或 module lookup failed。
正确做法：
- 用通配符覆盖完整路径：
go env -w GOPRIVATE="git.internal.company.com,*.internal.company.com" - 多个域名用逗号分隔，**不能有空格**
- 若使用自建 Athens 代理，且它支持私有模块透传，则可保留
GOPROXY，但GOPRIVATE仍需明确声明，否则代理层可能拒绝转发
临时验证：运行 GOPROXY=direct go list -m all | grep internal，看私有模块是否能正常列出。
离线缓存解压后 go build 仍报 cannot find module
不是缓存没拷对，而是三个路径没对齐：
-
go env GOMODCACHE输出的路径，必须和你解压缓存的目标路径**完全一致**（注意软链接 vs 真实路径） -
go env GOPATH在离线机上必须和下载缓存时的机器**完全相同**，否则 Go 不会去$GOMODCACHE查找 - 项目里若有
replace指向本地路径（如replace github.com/foo/bar => ../bar），离线时该路径必须存在且可读——这种 replace 不走模块缓存，容易被忽略
最稳妥检查方式：go list -m -f '{{.Dir}}' github.com/sirupsen/logrus@v1.9.0，输出应为一个真实存在的目录，且内容不为空。
