go list -m -u all 是检查 Go 模块依赖是否过时的官方推荐命令，它列出所有直接和间接依赖，并标出有新版本的模块（如 github.com/sirupsen/logrus v1.8.1 [v1.9.3]），但不区分 patch/minor/major 更新；需结合 go mod graph 追溯陈旧版本引入路径，并避免直接使用 go get -u 全量升级。
如何用 go list 检查模块依赖是否过时
Go 官方没有直接叫“检查过时依赖”的命令，但 go list -m -u all 是最贴近需求的本地脚本入口。它会列出所有直接/间接依赖，并在有新版本可用时标出当前版本和最新版本。
注意：这个命令只报告“有更新”，不区分是 patch、minor 还是 major 版本 —— Go 的语义化版本规则下，v1.2.3 → v1.2.4 和 v1.2.3 → v1.3.0 都算“可更新”，但后者可能含破坏性变更。
- 运行
go list -m -u all前确保在模块根目录（含go.mod），否则报no modules found - 输出中带
[vX.Y.Z]的行表示该模块有更新，比如github.com/sirupsen/logrus v1.8.1 [v1.9.3] - 若想只看直接依赖（排除 transitive），用
go list -m -u -f '{{if not .Indirect}}{{.}}{{end}}' all
go mod graph 配合 grep 快速定位陈旧依赖路径
有时候某个老版本模块被多个上游间接引用，光看 go list 不知道谁在拖后腿。go mod graph 输出的是完整依赖图，配合文本筛选能快速定位源头。
例如发现 golang.org/x/net v0.7.0 已过时，但不知道哪个模块强制拉了它，可以：
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 先用
go list -m -u all | grep 'golang.org/x/net'确认当前锁定版本和最新版 - 再执行
go mod graph | grep 'golang.org/x/net@v0.7.0$'，输出类似github.com/xxx/yyy@v1.2.0 golang.org/x/net@v0.7.0，说明github.com/xxx/yyy直接 require 了这个老版本 - 如果没匹配到，说明是更深层间接依赖，可加
go mod graph | grep -E 'golang.org/x/net@v0.7.0|github.com/xxx/yyy'向上追溯
写个轻量脚本自动汇总过时模块并标记风险等级
手动翻 go list -m -u all 输出容易漏，尤其项目依赖多时。一个 15 行以内的 Bash 脚本就能解决：
#!/bin/bash
go list -m -u all 2>/dev/null | \
awk '$2 ~ /\[.*\]$/ {
split($2, ver, "[]");
curr = ver[1]; latest = ver[2];
split(curr, c, "."); split(latest, l, ".");
if (l[1] > c[1] || (l[1]==c[1] && l[2] > c[2])) print "BREAKING:", $1, curr, "->", latest;
else print "SAFE:", $1, curr, "->", latest
}'
这个脚本按主次版本号粗略判断：主版本升（v1 → v2）或次版本升（v1.2 → v1.3）标为 BREAKING，仅修订版升（v1.2.3 → v1.2.4）标为 SAFE。实际是否真 break，还得看模块自身是否遵守 semver —— 比如 golang.org/x/ 系列很多根本不发 v2+，全靠 go.mod 中的 pseudo-version 控制。
为什么 go get -u 不推荐直接跑
go get -u 看似是“一键升级”，但它默认只升级直接依赖的最新 minor/patch，且会修改 go.mod 和 go.sum —— 这在 CI 或多人协作中极易引发意外变更。
- 它不处理 indirect 依赖，可能留下陈旧子依赖（比如 A→B→C(v1)，B 锁死 C(v1)，
go get -u A不动 C） - 升级后未跑测试就提交，可能因 B 的新版本悄悄改了行为而线上出问题
- 某些模块（如
cloud.google.com/go）版本跨度大时，API 差异显著，-u会跳过中间兼容层
真正稳妥的做法是：先用 go list -m -u all 查清单，挑关键模块逐个 go get module@vX.Y.Z，每次升级后跑 go test ./... 和集成验证。
