go get @vX.Y.Z 不是覆盖命令而是满足约束的升级指令，若存在更高主版本（如v2.0.0+incompatible），则低版本（如v1.9.3）会被静默忽略；需用go mod edit -require或commit hash强制指定，间接依赖须显式声明以冻结版本。
go get @vX.Y.Z 为什么没改掉 go.mod 里的版本？
它根本不是“覆盖命令”，而是“满足约束的升级指令”。如果当前已存在 v2.0.0+incompatible，go get github.com/sirupsen/logrus@v1.9.3 不会降级，也不会报错，只是静默忽略——因为 v1.9.3 不满足 v2 主版本的兼容性要求。
- 确认 tag 是否真实存在：
curl -I https://proxy.golang.org/github.com/sirupsen/logrus/@v/v1.9.3.info - 强制写入指定版本（绕过 MVS）：
go mod edit -require=github.com/sirupsen/logrus@v1.9.3，再执行go mod tidy - 用 commit hash 更可靠（跳过 tag 校验）：
go get github.com/sirupsen/logrus@55046e2 - 如果依赖已被其他模块拉高到 v2，你得先处理它的路径：v2 版本必须声明为
github.com/sirupsen/logrus/v2，否则 Go 拒绝共存
间接依赖被悄悄升级了，怎么冻住它？
你没 import 它，但它出现在 go.sum 里，说明某直接依赖带进来了。go get -u 默认会升所有间接依赖，导致构建漂移。
-
go get -u=patch只升 patch 级别（如 v1.9.2 → v1.9.3），不碰 minor/major - 手动加
require行到go.mod中（哪怕没直接 import），再go mod tidy—— 这样它就变成“显式依赖”，不再被自动更新 - 检查哪些间接依赖变了：
go list -m all | grep -v 'your-module-name' - CI 中建议加校验：
git status --porcelain go.sum非空则失败，防哈希被篡改或源变更
replace 是临时调试还是长期方案？
它能绕过远程仓库、解决冲突、验证本地修改，但不是版本控制的替代品。滥用 replace 会让 go.sum 失效，且无法被下游复现。
- 调试时用：
replace github.com/foo/bar => ./local-fix（路径必须存在，且含go.mod） - 替换私有库：
replace github.com/internal/lib => git.example.com/internal/lib v1.2.0 - 慎用
exclude：仅限严重 bug 的临时规避，它不下载也不校验，破坏完整性 - 发布前务必删掉
replace，改用正式版本号；否则别人go build会失败
vendor 目录到底起不起作用？
它只是个缓存副本，**默认完全不生效**。Go 构建时仍走 GOPROXY 和 $GOPATH/pkg/mod，除非你显式告诉它：“用 vendor”。
- 生成 vendor：
go mod vendor（只复制go.mod里声明的依赖，不会更新已有内容） - 构建时启用：
go build -mod=vendor，缺这个 flag 就等于没 vendor - vendor 必须和
go.mod、go.sum一起提交，且每次go mod tidy后要重跑go mod vendor - 私有模块下，
go.sum是唯一可信依据；丢掉它，vendor 就只剩一堆没校验的文件
精细控制的本质不是“锁死所有东西”，而是让每个 require 行都可解释、可追溯、可复现——尤其是那些你没直接 import 却在 go.sum 里悄悄存在的间接依赖。
