Go依赖版本由go.mod的require行和go.sum校验和共同锁定，必须通过模块系统（如go get、replace、go mod tidy）管理，禁止硬编码路径；go.sum是构建一致性的最终依据，需与go.mod一同提交。
不能靠“写死 import”或手动改代码实现，必须通过模块系统介入构建解析过程。 Go 的依赖版本不是由源码里的 import 路径决定的，而是由 go.mod 中的 require 行 + go.sum 校验和共同锁定。任何绕过模块系统的做法（比如硬编码路径、改包名）都会在构建时被忽略或直接报错。
用 go get package@version 精确覆盖版本
这是最常用、最可靠的方式，Go 工具链会原子性完成：解析版本、校验、更新 go.mod 和 go.sum、下载归档包。
- 执行
go get github.com/sirupsen/logrus@v1.8.1后，go.mod中对应行会被**完全替换**为v1.8.1，不会保留旧版痕迹 - 如果当前已有更高版本（如
v1.9.3），go get默认不会降级——必须显式指定旧版才能生效 - 支持多种格式：
@v1.2.3（tag）、@abc123def（commit hash）、@v0.0.0-20261008152244-abc123def456（伪版本），但不支持裸分支名如@main - 加
-d参数可跳过编译检查，只更新模块信息：go get -d github.com/pkg/errors@v0.9.1
用 replace 绕过远程拉取，强制指向本地或特定 commit
适用于调试、验证未发版修复、或 fork 后临时使用自己的分支。它在构建时重定向解析路径，完全跳过 proxy.golang.org 和 go.sum 的远程校验流程。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 本地路径必须以
./或../开头，且目标目录下必须有合法go.mod文件（哪怕只是module github.com/user/lib） - 指向远程 commit 的写法更可移植：
replace github.com/user/lib => github.com/user/lib v0.0.0-20261008152244-abc123def456，这个伪版本号建议用go get github.com/user/lib@abc123def自动生成，别手拼 -
replace不影响代码中的import语句——你仍要写import "github.com/user/lib"，工具链会在解析阶段自动映射 - CI 或其他协作者运行
go build会失败，除非他们也有同名本地目录，所以replace**不该提交进团队仓库**
为什么 go mod tidy 有时会悄悄改掉你的版本
它本身不主动升级，但会按最小版本选择（MVS）规则补全依赖树。如果你的 go.mod 写了 v1.9.0，而某个间接依赖（比如另一个库）要求 v1.9.3，go mod tidy 就会把 go.mod 升级为 v1.9.3 来满足约束。
立即学习“go语言免费学习笔记（深入）”；
- 查真实生效版本：运行
go list -m all | grep logrus，输出才是构建实际用的版本，不是go.mod里写的那个 - 查谁在拉这个包：
go mod graph | grep 'logrus'，快速定位是哪个间接依赖带偏了版本 - 想锁死又不想用
replace？在go.mod里显式加一行require github.com/sirupsen/logrus v1.8.1 // indirect，再跑go mod tidy - 私有模块若没配
GOPRIVATE，@commit或@branch会解析失败；go.sum若被删或未提交，不同机器构建可能拉到不同代码
最容易被忽略的是：go.sum 才是构建一致性的最终依据，不是 go.mod。它记录的是每个模块确切的 commit hash 和文件哈希，一旦缺失或不匹配，go build 就会拒绝执行。所以每次 go get 或 go mod tidy 后，go.mod 和 go.sum 必须一起提交。
