go.mod 与 go.sum 协同保障可重现构建：前者声明依赖版本，后者校验模块 go.mod 和 zip 包双哈希；二者不变则构建结果一致，且 go.sum 不可忽略或手动修改。
go.mod 和 go.sum 是如何协同锁定构建结果的
可重现构建不是靠“运气”，而是由 go.mod 与 go.sum 两个文件共同强制保障的。前者声明“我要哪个版本”，后者验证“我拿到的确实是那个版本”。只要这两个文件不变，go build 在任何机器、任何时间拉取的依赖内容就完全一致。
关键点在于：go.sum 存的不是某个依赖的 zip 包哈希，而是两个哈希：该模块 go.mod 文件的 SHA256，以及该模块源码 zip 包的 SHA256。这意味着——哪怕远程仓库里同名 tag 被 force-push 覆盖（极危险但真实存在），只要 commit 没变，伪版本（如 v0.0.0-20230405102030-abc123def456）仍能指向唯一 commit；而一旦 zip 或其 go.mod 内容被篡改，go build 就会立即报 checksum mismatch 并中断。
-
go.mod中写github.com/sirupsen/logrus v1.9.3，只是语义标签，背后对应的是某次 commit - 如果该模块没打合规 tag，或你用
go get @commit，Go 会自动生成伪版本并写入go.mod -
go.sum不可手动编辑，也不该被忽略 —— 它是校验依据，不是缓存 - CI/CD 流水线中若未提交
go.sum，不同 runner 可能从不同代理源拉包，导致哈希不一致
为什么 go mod tidy 不等于“自动升级”，反而能加固可重现性
go mod tidy 的本质是“对齐”：它读取当前代码中所有 import 语句，补全缺失的 require 行，同时移除未被引用的间接依赖。这个过程不会升级任何版本，除非你先执行了 go get 类命令引入新版本。
很多人误以为 tidy 会“智能选最新版”，其实它严格遵循最小版本选择（MVS）算法：在满足所有 import 需求的前提下，选用尽可能旧的版本。这反而降低了意外引入 breaking change 的风险。
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 运行
go mod tidy后，go.sum会被同步更新，确保新增/删减的依赖都有对应校验和 - 若本地
go.mod和远程仓库不一致（比如有人漏提交某行require），tidy会暴露差异 - 建议每次
git pull后、go build前都跑一次go mod tidy -v，看是否有隐式变更
vendor 目录不是过时方案，而是可重现性的物理快照
当网络不可控、镜像源不可信、或审计要求“所有依赖必须随代码一同归档”时，vendor/ 就成了最硬的可重现保障。它把 go.mod + go.sum 的逻辑锁定，进一步落地为文件系统级的确定性。
注意：vendor/ 不是“替代”模块系统，而是模块系统的输出产物。启用它的前提是项目已初始化为 module（即存在 go.mod），且必须配合 -mod=vendor 标志使用，否则 Go 工具链会直接忽略它。
-
go mod vendor会复制所有直接/间接依赖，路径结构与 import 路径严格一致 -
vendor/modules.txt是生成日志，记录每个包来源（module path + version + sum），可用于审计 -
vendor/应提交到 Git —— 它不是构建产物，而是项目契约的一部分 - 不要在 Dockerfile 中
COPY vendor/却不加-mod=vendor，否则容器内仍会走 proxy 下载
最容易被忽略的破坏点：GOPROXY 和 GOPRIVATE 配置不一致
同一个 go.mod + go.sum，在不同机器上可能拉到不同内容，根源往往不在 Go 工具链，而在环境变量。
例如：开发者本地配置了 GOPROXY=https://goproxy.cn，而 CI 使用 https://proxy.golang.org，两者对同一 tag 的 zip 包生成方式或重定向策略不同，最终导致 go.sum 中记录的哈希与实际下载内容不匹配。
- 私有模块（如公司内网 GitLab）若未配置
GOPRIVATE=*.corp.example.com，Go 默认仍会尝试走公共 proxy，失败后才 fallback 到 direct，这个过程可能混入非预期 commit - 推荐团队统一设置：
go env -w GOPROXY=https://proxy.golang.org,direct，避免镜像源差异 -
GOINSECURE仅用于测试，生产环境禁用；它会让go.sum校验失效
go.sum 是否被当作契约严格执行、GOPROXY 是否被当成环境配置而非临时开关、以及 vendor/ 这类物理快照是否在需要时被真正启用。这些细节不显眼，但任何一个松动，都会让“可重现”变成一句空话。 
