go.sum 文件记录依赖模块的校验和以确保内容完整性与构建可重现性，由 Go 工具链自动维护，必须提交至版本库。
在 Go 项目中，go.sum 文件是保障依赖版本一致性和构建可重现性的关键机制。它不直接“锁定”模块版本（那是 go.mod 的职责），而是记录每个依赖模块特定版本的加密校验和，用于在每次下载或构建时验证模块内容是否被篡改或意外变更。
go.sum 的作用原理
go.sum 是 Go 模块校验和数据库，每行包含三项：
– 模块路径与版本号
– 校验算法（如 h1: 表示 SHA-256）
– 对应模块 zip 包内容的哈希值
Go 工具链在 go get、go build 或 go mod download 时，会自动下载模块并重新计算其哈希值，与 go.sum 中记录的比对。不匹配则报错并拒绝使用，防止供应链攻击或镜像源污染。
如何生成和更新 go.sum
你通常不需要手动编辑 go.sum。它由 Go 命令自动维护：
- 首次运行
go mod init后执行go build或go mod tidy，会自动生成go.sum - 添加新依赖（如
go get github.com/sirupsen/logrus@v1.9.3）后，go.sum会自动追加对应校验和 - 运行
go mod tidy -v可查看哪些模块被添加/删除，并同步更新go.sum - 若要刷新全部校验和（例如更换代理后重验），可用
go mod download -json all | go mod verify辅助检查
确保团队和 CI 环境使用一致的 go.sum
go.sum 必须提交到版本库（如 Git），否则不同开发者或 CI 节点可能拉取到被篡改或不一致的依赖包：
立即学习“go语言免费学习笔记（深入）”；
- 禁止将
go.sum加入.gitignore - CI 流程中应在
go build前运行go mod download，触发校验和比对 - 若 CI 报错
checksum mismatch，说明本地go.sum与远程模块实际内容不符，应先确认是否误改依赖、是否用了非官方代理，再通过go mod tidy重建go.sum
常见误区与注意事项
注意： go.sum 不解决“版本漂移”问题——它只校验已确定版本的内容是否可信。真正锁定版本靠的是 go.mod 中的 require 语句及 go mod vendor（可选）。
-
go.sum中可能出现同一模块多个版本（如v1.2.3和v1.2.4），这是正常现象，表示项目间接依赖了不同版本 - 删除
go.sum后重新运行go mod tidy会重建它，但前提是go.mod版本约束明确且网络环境可信 - 私有模块需配置
GOPRIVATE环境变量，否则 Go 默认跳过对其校验和记录
