GOSUMDB是校验执行者，go.sum仅为哈希快照；设GOSUMDB=off会跳过远程校验、放弃供应链安全，应优先配置官方中国镜像sum.golang.google.cn。
go.sum不是摆设，GOSUMDB才是校验执行者
go.sum 文件本身不参与校验动作，它只是记录哈希的“快照”。真正发起网络请求、比对远程模块内容与本地哈希是否一致的是 GOSUMDB。没有它，go mod verify 会直接报错，go build 和 go get 在遇到版本变更或首次拉取时也会中断——因为 Go 工具链默认要求校验通过才允许继续。
GOSUMDB=off 是放弃安全，不是跳过麻烦
设 GOSUMDB=off 后，Go 完全跳过所有远程校验步骤，只信任本地 go.sum 内容。但这个文件可能：未提交到 Git、被手动编辑过、或上次 go mod tidy 时因网络失败写入了错误哈希。CI/CD 流水线里启用它，等于把供应链完整性检查交由人工审计，风险不可控。
- 仅在调试私有不可达模块时，用
go get -insecure+GOINSECURE=example.com更安全 -
GOSUMDB=off无法解决国内访问失败问题，它只是掩盖症状 - 一旦某次构建用了被劫持的包，后续所有基于该缓存的构建都会继承污染
国内开发者最该配的其实是 sum.golang.google.cn
默认 GOSUMDB=sum.golang.org 在国内常因 DNS 污染或防火墙拦截返回 403 或超时。这不是模块坏了，是校验链路断了。优先替换为官方中国镜像：
go env -w GOSUMDB=sum.golang.google.cn
这个地址走 HTTPS、由 Go 团队签名维护，无需额外证书，也不依赖代理。如果仍失败，检查是否误将 sum.golang.org 加入了 GOPROXY 链（比如 GOPROXY=https://goproxy.cn,direct 正确；GOPROXY=https://goproxy.cn,sum.golang.org,direct 错误）。
立即学习“go语言免费学习笔记（深入）”；
自建 sumdb 镜像？Go 工具链根本不认
你搭一个 HTTP 服务返回哈希值，Go 客户端不会接受——因为它只信任硬编码在二进制里的 Go 团队公钥。所谓“自建 sumdb”，实际只是缓存代理（如 Athens），它不提供签名校验能力，最终仍需回源 sum.golang.org。企业内网若完全隔离，唯一合规路径是：GOSUMDB=off + 每次 go mod download 后手动运行 go mod verify 并人工核对 go.sum 变更。
