go.mod和go.sum必须一起提交并强制校验，否则必然导致checksum mismatch或静默加载错误版本；禁止手动编辑go.sum，CI须执行go mod verify，依赖升级需用明确语义化版本，私有模块须配GOPRIVATE，Go版本须严格统一。
团队成员的依赖版本不一致，根本不是“没拉最新代码”这种表层问题，而是 go.mod 和 go.sum 没被当作构建契约来对待——只要这两个文件没一起提交、没被校验、没被 CI 强制执行，就一定会在某次 go build 时爆出 checksum mismatch 或静默加载错误版本。
go.mod 和 go.sum 必须一起提交，且禁止手动编辑 go.sum
go.sum 不是辅助文件，它是 Go 构建时校验依赖完整性的唯一依据。本地 go mod tidy 生成的 go.sum 和 CI 中 go mod download 生成的必须完全一致，否则构建失败。
- 每次运行
go mod tidy后，go.mod和go.sum必须同时git add并提交，缺一不可 - CI 流水线里必须加
go mod verify步骤，失败即中断；它会检查所有模块是否匹配go.sum中记录的哈希 - 有人删掉
go.sum再go mod tidy重生成？不行。这会导致新机器拉到被缓存污染或中间人篡改过的包，报错类似：verifying github.com/some/pkg@v1.2.3: checksum mismatch - 编辑器插件或 IDE 自动执行
go mod tidy？必须关掉。它可能跳过go.sum校验或使用非预期 GOPROXY，造成本地和 CI 行为割裂
依赖升级必须走显式版本号，禁用 @latest 和浮动标签
@latest 不等于最新 tag，而是 MVS（Minimal Version Selection）算法选出的“满足所有 import 的最高 patch 版本”，可能跳过带 breaking change 的 v2.x，也可能意外选中预发布版。团队里只要一人用了 go get some/pkg@latest，go.mod 就可能写入一个别人本地根本解析不了的伪版本。
- 升级命令必须带明确语义化版本：
go get github.com/org/pkg@v1.4.2 - 降级前先确认 tag 存在：
curl -I https://proxy.golang.org/github.com/org/pkg/@v/v1.3.0.info返回 200 才安全 - 若已有更高主版本（如
v2.0.0+incompatible），go get无法自动降级，得用go mod edit -require=github.com/org/pkg@v1.3.0强制写入，再跑go mod tidy - 禁止在
go.mod里手写master、main或裸 commit hash——它们绕过 SemVer，构建结果不可复现
私有模块和 fork 场景必须配 GOPRIVATE，否则代理直接 403
默认情况下，go get 对任何非 public 域名（如 git.internal.company.com）都会先发请求到 proxy.golang.org，结果必然是 403 或 timeout，根本不会 fallback 到 git 协议。这不是网络问题，是模块解析流程的硬规则。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 所有成员必须统一配置：
export GOPRIVATE="git.internal.company.com/*,github.com/company/private-*" -
GOPRIVATE是 glob 模式，不是正则；*只能出现在末尾，不能写成*.company.com - 如果用了自建 proxy（如 Athens），还需额外设
GOPROXY=https://athens.company.com,direct，确保私有模块走 direct 而不进 proxy - fork 后想临时用自己分支？别改 import 路径，用
replace github.com/upstream/pkg => github.com/yourname/pkg v0.0.0-20240501123456-abc123def，且该 fork 必须打过vX.Y.Ztag，否则 replace 无效
CI 和本地开发必须共用同一套 Go 工具链版本
Go 1.21 和 1.22 编译出的二进制，在 net/http 超时逻辑、time.Now().UTC() 纳秒精度、甚至某些 unsafe 边界检查上都可能行为不同。这不是 bug，是官方明确不保证 minor 版本 ABI 兼容性的结果。
- Dockerfile 必须用完整语义化镜像标签：
FROM golang:1.21.13-bullseye，禁用golang:1.21或golang:latest - 本地开发也必须进容器：用
docker run --rm -v $(pwd):/workspace -w /workspace golang:1.21.13-bullseye go build，而不是调宿主机go - 项目根目录放
.go-version文件（内容为1.21.13），CI 里用grep校验go version输出是否匹配，不匹配则 fail - GOROOT 必须指向官方解压路径（如
/usr/local/go），禁用gvm或包管理器安装的混杂版本
最常被忽略的一点：团队里只要有一个人把 go.sum 当作可忽略的生成文件，或者在 CI 里跳过 go mod verify，整个版本同步机制就形同虚设——它不像 Git diff 那样肉眼可见，而是在某次上线前夜，突然报出一个没人见过的 checksum mismatch。
