能，go get 支持直接拉取 commit hash（如 abc123def），自动转为伪版本号 v0.0.0-yyyymmddhhmmss-abc123def 写入 go.mod，并记录哈希至 go.sum；需 7 位以上完整 hash 且属于默认分支。
go get 后接 commit hash 能直接拉取
Go 工具链原生支持用 go get 命令加完整 commit hash（如 abc123def）来拉取依赖，无需额外配置。它会自动解析成伪版本号（v0.0.0-yyyymmddhhmmss-abc123def），写入 go.mod，并记录对应哈希到 go.sum。
常见错误现象：执行后 go.mod 没变、go.sum 无新增行——大概率是本地缓存命中或 GOPROXY 返回了旧版本。可加 -x 参数观察真实 fetch 行为，或临时设 GOPROXY=direct 绕过代理验证。
- 必须用 7 位以上完整 hash（如
3f5e24b6），不能只写前 4 位 - hash 必须属于目标仓库的 main 分支（或默认分支），否则可能拉错提交
- 如果模块未打任何 tag，Go 才会生成
v0.0.0-开头的伪版本；已有 tag 时，hash 不会覆盖语义化版本逻辑
replace 适合本地调试但不适用于部署
当你已把依赖 clone 到本地，并切到了某个特定 commit，可用 replace 指向本地路径，例如：
replace github.com/gorilla/mux => ../mux
这能跳过网络拉取，实时反映本地修改，但有明显限制：
立即学习“go语言免费学习笔记（深入）”；
-
replace只在当前模块生效，无法被下游项目继承 - CI/CD 构建时若没同步本地路径，会直接失败
-
go.sum中仍会保留原始远程模块的哈希，同时新增本地路径的校验行，容易混淆 - 运行
go mod tidy不会自动清理replace条目，需手动删或注释
go mod download 不会更新 go.mod，慎用于锁定 commit
go mod download 只下载模块到本地缓存，不修改 go.mod 或 go.sum。即使你执行：
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
go mod download github.com/sirupsen/logrus@3f5e24b6
它也不会把该 commit 写进依赖声明——只是预热缓存。想真正锁定，必须先让 go.mod 记录这个版本，也就是回到第一步用 go get。
典型误用场景：在 CI 中先 go mod download 再 go build，结果构建仍用旧 commit，因为 go.mod 根本没变。
go.sum 里同一模块多行哈希不是异常
看到 go.sum 中一个模块出现两行甚至三行，比如：
github.com/sirupsen/logrus v1.9.3 h1:...
github.com/sirupsen/logrus v1.9.3/go.mod h1:...
这是正常行为。第一行是源码哈希（h1: 开头），第二行是其 go.mod 文件哈希。如果你还用了 replace 或切换过不同 commit，可能还会多出第三行对应本地路径的哈希。
关键点在于：这些行的存在，说明 Go 工具链确实校验过这些内容。不要手动删，否则下次 go build 可能报 checksum mismatch。真要清理冗余条目，用 go mod tidy -v，它只删未被 go.mod 引用的行。
