间接依赖未被require时，go.mod不记录它；需通过空导入+go mod tidy、手动require后tidy，或用replace/exclude显式管理，并用go list -m all等命令定位依赖源头。
间接依赖没被 require，go.mod 不认它
Go 默认只在 go.mod 里记录直接 import 的包（即 require 行），间接依赖（比如你没 import github.com/go-sql-driver/mysql，但 gorm.io/gorm 用了它）不会自动写进 go.mod。这意味着你没法直接改它的版本——go.mod 根本没这行，改了也没用。
常见错误现象：go get github.com/go-sql-driver/mysql@v1.14.0 执行后 go.mod 没变化，或者运行 go mod tidy 后又被自动降回旧版。
- 必须先让 Go “看见”这个间接依赖：在代码里加一行
import _ "github.com/go-sql-driver/mysql"（空导入），再跑go mod tidy，它就会把该包作为直接依赖写入go.mod - 或者跳过 import，直接在
go.mod中手动添加require github.com/go-sql-driver/mysql v1.14.0，再执行go mod tidy—— 它会保留这一行，并校验是否与其他依赖冲突 - 如果添加后
go mod tidy报错require ...: version "v1.14.0" does not exist，说明该 tag 在仓库中不存在，得查真实 release 列表或换 commit hash
用 replace 强制接管间接依赖版本
当多个上游包各自拉不同版本的同一间接依赖（比如 A 要 v1.10.0，B 要 v1.12.0），而你想统一成 v1.14.0，又不想/不能改上游时，replace 是最常用手段。
它不修改 import 路径，只在构建时重定向解析目标，对当前模块生效。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 在
go.mod中添加：replace github.com/go-sql-driver/mysql => github.com/go-sql-driver/mysql v1.14.0 - 紧接着运行
go get github.com/go-sql-driver/mysql@v1.14.0，确保go.sum记录新校验和 - 再执行
go mod tidy，它会把replace视为有效约束，清理掉冲突的旧版本引用 - 注意：若 replace 目标是本地路径（如
./mysql-fix），该目录必须含合法go.mod，且module名需与原路径一致
exclude 是临时止血，不是长期方案
exclude 用于彻底屏蔽某个有问题的间接依赖版本（比如已知 v1.13.2 有 panic bug），但它不指定替代版本，只是“不让它进来”。Go 会尝试找其他满足条件的版本，可能失败，也可能引入更老的、同样有问题的版本。
- 仅在紧急修复场景下使用：
exclude github.com/go-sql-driver/mysql v1.13.2 - 必须配合
go mod tidy生效，且之后要立刻验证能否成功构建 + 运行 - CI 中禁止使用
exclude：它会让依赖图变得不可预测，不同机器上可能选出不同 fallback 版本 - 用完记得及时删掉，换成
require或replace显式控制
go list -m all 和 go mod graph 是定位关键
改错间接依赖版本，本质是改错了源头。不先看清谁在拉它、为什么拉这个版本，所有修改都是蒙眼操作。
- 查完整依赖树：
go list -m all看当前解析出的所有模块及版本 - 查谁引入了某包：
go mod graph | grep mysql（替换为你要查的包名），输出形如myapp github.com/go-sql-driver/mysql@v1.10.0，表示myapp直接依赖它；而gorm.io/gorm@v1.25.0 github.com/go-sql-driver/mysql@v1.10.0表示是 gorm 拉的 - 查具体调用链：
go mod why -m github.com/go-sql-driver/mysql，它会打印从main开始一路 import 到它的完整路径 - 若发现某个间接依赖版本异常高（比如
v2.0.0），但你的代码没用 v2 API，大概率是某个依赖的go.mod写错了主版本路径，得去 upstream 提 issue
