checksum mismatch 是内容校验失败而非网络问题，因本地缓存、代理污染或作者强制推送覆盖 tag 导致 zip 包哈希与 go.sum 不符；应执行 go clean -modcache、删除 go.sum 后重新 tidy，并视情况切换 GOPROXY 或改用 commit hash 锁定版本。
checksum mismatch 不是网络问题，是内容校验失败
报 verifying github.com/xxx@v1.2.3: checksum mismatch 时，Go 已经成功下载了模块 zip 包，只是它算出来的哈希值和 go.sum 里存的对不上。这不是连不上 GitHub，也不是代理配置错了——而是本地缓存、代理返回内容、或上游作者改了 tag 导致的“内容不一致”。
常见现象包括：
- 同一命令在不同机器上一次成功、一次失败
- 删掉
go.sum后重跑，又报新 mismatch（说明缓存里已有污染包） -
go mod download -json显示的 commit 和go.sum记录的 hash 完全不匹配
清理缓存 + 重建 go.sum 是最稳的第一步
别试图手动删 $GOPATH/pkg/mod/cache/download 下某个子目录——缓存结构复杂，残留会继续干扰。直接整仓清空：
- 运行
go clean -modcache（清空所有模块缓存，不影响go.mod和代码） - 删除项目根目录下的
go.sum（推荐，避免旧 hash 干扰重建） - 再执行
go mod tidy或go get -u，让 Go 重新下载并生成干净的go.sum
注意：go clean -modcache 不会删你写的任何代码，也不影响 go.mod 的版本声明。
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
GOPROXY 返回污染包时，用 direct 验证是否代理问题
国内常用 https://goproxy.cn，但某些节点可能缓存了早期带 bug 的 zip，或同步滞后。临时绕过代理验证：
- Linux/macOS：执行
export GOPROXY=direct；Windows：set GOPROXY=direct - 再跑一次
go mod tidy，如果成功，说明是代理问题 - 可换用
https://proxy.golang.org，或配置回退链：go env -w GOPROXY=https://goproxy.cn,https://proxy.golang.org,direct
特别注意：企业内网 proxy 若重写 zip（比如注入 license header），必然触发 mismatch，这种场景下 direct 是唯一可靠路径。
作者 force push 覆盖 tag 时，只能用 commit hash 锁定
这是最隐蔽的情况：有人把 v1.2.3 tag 对应的代码库用 git push --force 覆盖了，而 Go 校验的是 zip 包哈希，内容一变就对不上。此时 go.sum 里存的是旧 hash，但新 zip 已不可逆。
- 查
go.sum中该行，找到旧 hash 值 - 运行
go mod download -json github.com/xxx@v1.2.3，看它实际指向哪个 commit - 确认是作者违规操作后，放弃 tag，改用 commit：
go get github.com/xxx@a1b2c3d
这个点容易被忽略：不是所有 “版本号没变” 就等于内容安全；tag 可被篡改，而 commit hash 才是唯一可信锚点。
