go get报checksum mismatch是模块校验失败，主因是本地缓存损坏、代理返回污染包或上游强制覆盖tag；应先执行go clean -modcache并删除go.sum，再用go mod tidy重建，必要时设GOPROXY=direct验证或改用commit hash锁定版本。
go get 报 checksum mismatch 是缓存或代理问题，不是网络连不上
这个错误本质是 go.sum 里存的哈希值和实际下载下来的模块 zip 包内容对不上。它不表示你访问不了 GitHub，也不代表 GOPROXY 配错了——而是本地缓存损坏、代理返回了旧/污染包，或者上游作者强制覆盖了 tag。
常见现象包括：verifying github.com/some/lib@v1.2.3: checksum mismatch，后面跟着两行 downloaded: 和 go.sum: 的 h1:xxx 值不一致。
- 别手动删
$GOPATH/pkg/mod/cache下某个子目录——容易删漏，直接跑go clean -modcache - 顺手删掉项目根目录下的
go.sum（推荐，避免旧记录干扰重建） - 再执行
go mod tidy或go get -u some/module，让 Go 重新下载并生成新校验和
临时切 GOPROXY=direct 能快速验证是不是代理的问题
国内常用 https://goproxy.cn 或 https://proxy.golang.org，但部分镜像节点可能缓存了被撤回的版本，或同步滞后。企业内网 proxy 甚至会重写 zip 包（比如注入 header），这必然触发校验失败。
验证方法很简单：
- Linux/macOS：运行
export GOPROXY=direct - Windows：运行
set GOPROXY=direct - 再跑一次
go mod tidy，如果成功，说明问题出在代理
修复建议：GOPROXY=https://goproxy.cn,https://proxy.golang.org,direct，这样前面两个挂了还能 fallback 到 direct。
作者 force push 了已发布的 tag，只能用 commit hash 锁定
这是最隐蔽的情况：有人把 v1.2.3 对应的代码库内容直接 git push --force 覆盖了，而 Go 的校验和是按 zip 包算的，内容一变就对不上。此时 go.sum 里存的是旧哈希，但新 zip 已不可逆。
怎么确认？
- 查
go.sum中对应行，记下旧h1:xxx - 运行
go mod download -json some/module@v1.2.3，看它实际指向哪个 commit（有时 version 是 pseudo-version） - 如果 commit hash 变了，且你确定要回退到旧行为，就放弃 tag，改用 commit 锁定：
go get some/module@a1b2c3d
注意：commit hash 不带 v 前缀，也别加 ~ 或 +，Go 会自动解析为 pseudo-version。
go.sum 文件本身不是“锁”，而是校验快照
go.sum 不像 package-lock.json 那样锁定所有间接依赖的精确版本，它只记录每个模块 zip 包和 go.mod 文件的哈希值，用于验证完整性。所以它不能防止版本漂移，也不能替代 go.mod 中的 require 约束。
容易忽略的一点是：当你用 replace 或 exclude 修改依赖时，go.sum 不会自动更新——必须跟一次 go mod tidy，否则 CI 构建大概率失败。
另一个坑：go.sum 里的条目顺序无关紧要，但每行末尾不能有多余空格或换行符，否则某些旧版 Go 工具链会解析失败。
