go build 会拉新版本是因为未提交 go.sum 且 GOPROXY 含 direct，导致 MVS 动态解析间接依赖；必须提交 go.sum、禁用 direct 回退、用 go get@version 更新而非手动改 go.mod。
go build 为什么还会拉新版本？
因为 go build 默认不锁定间接依赖的解析结果。即使 go.mod 里写了 v1.9.0，只要某个子依赖没被显式 require，Go 就可能在不同机器上按最小版本选择（MVS）策略选到不同 patch 版本 —— 尤其当远程模块发布了新 patch 且未被 go.sum 记录时。
必须提交 go.sum，且不能忽略它
go.sum 不是“可选校验文件”，而是构建时强制比对的依据。删掉或忽略它，go build 会重新下载并生成新 go.sum，但内容可能和你本地不一致。
- CI/CD 中未提交
go.sum→ 构建失败概率陡增，常见错误：checksum mismatch - 开发者本地
go mod tidy后只提交go.mod→ 下次别人go build会触发重下载，可能拉到被篡改的包 - Git 忽略
go.sum的项目，等同于放弃完整性保护
GOPROXY 必须禁用 fallback
默认 GOPROXY=https://proxy.golang.org,direct 中的 direct 是兜底行为：一旦代理找不到你要的版本（比如私有 tag 或刚发布的版本），就会绕过代理直连源站，甚至拉取 @latest —— 这直接破坏你写死的版本。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 安全写法：
GOPROXY=https://goproxy.cn,direct（国内推荐）或GOPROXY=https://proxy.golang.org（无,direct） - 绝对不要设
GOPROXY=direct，这等于关掉缓存和校验 - 私有模块必须配
GOPRIVATE=git.internal.company.com/*，否则go get直接 403
升级依赖必须用 go get@version，别碰 go.mod 手动改
手动编辑 go.mod 里的版本号（如把 v1.8.0 改成 v1.9.3）不会触发下载或校验，下次 go build 仍用旧版，甚至报错 missing go.sum entry。
立即学习“go语言免费学习笔记（深入）”；
- 正确做法：
go get github.com/sirupsen/logrus@v1.9.3→ 自动更新go.mod+go.sum - 降级需加
-u=patch：go get -u=patch github.com/sirupsen/logrus@v1.8.0 - 想锁 commit？用
go get github.com/sirupsen/logrus@55046e2，生成伪版本v0.0.0-20230405102030-55046e2，比 tag 更精确
go.sum 变更本身必须进 Git 提交记录**。它不是临时产物，而是构建确定性的“指纹”。一次没提交，就可能让 CI 和本地环境跑出两个世界。 
