Go模块私有化依赖路径映射与认证对齐，需确保go.mod路径与Git地址一致、配置GOPRIVATE跳过代理和校验，并通过Git凭据系统（HTTPS/SSH）完成认证，GOINSECURE仅用于跳过证书校验。
Go 模块私有化不是靠“隐藏代码”实现的，而是通过控制 go get 的解析路径和认证方式，让私有仓库的模块能被正常 go build 和 go mod tidy 识别。核心难点不在 Go 本身，而在 Git 协议、认证机制与 go.mod 中模块路径的对齐。
私有模块路径必须与实际 Git 地址可映射
Go 不支持“任意路径 → 私有地址”的自由重定向。模块路径（如 git.example.com/internal/utils）必须能被 go 工具链解析为真实可访问的 Git URL。否则 go mod download 会报 unknown revision 或 module not found。
- 模块路径应与 Git 仓库的 HTTPS/SSH 地址结构一致，例如：仓库地址是
https://git.example.com/group/lib，则go.mod中必须声明module git.example.com/group/lib - 若用 SSH（
git@git.example.com:group/lib.git），需确保~/.gitconfig中配置了[url "git@git.example.com:"] insteadOf = https://git.example.com/，否则go默认走 HTTPS 协议并失败 - 不推荐使用自定义域名别名（如
mylib.local），除非你在本地 hosts + 自建 proxy server 配合GOINSECURE，否则无法绕过 TLS 和 DNS 校验
Git 认证方式决定 go mod 能否拉取代码
go 命令底层调用的是 git clone，所以所有认证逻辑都复用 Git 的凭据系统。Go 本身不提供独立的 token 管理接口。
- HTTPS 方式：依赖
git credential（如git config --global credential.helper store），或在 URL 中嵌入 token：https://token:x-oauth-basic@git.example.com/group/lib（注意：仅限支持该格式的平台，如 GitHub/GitLab；且 token 需有read_package_registry权限） - SSH 方式：要求
~/.ssh/id_rsa（或对应私钥）已添加到 ssh-agent，且远程仓库已配置公钥；go会自动调用ssh -o StrictHostKeyChecking=no git@git.example.com - 避免在
go.mod中硬编码密码或 token —— 这会导致泄露风险，且go mod vendor后仍需运行时认证
GOINSECURE 和 GOPRIVATE 的分工要分清
这两个环境变量常被混用，但职责完全不同：
立即学习“go语言免费学习笔记（深入）”；
-
GOPRIVATE=git.example.com/*：告诉go工具“这些模块不走公共代理（proxy.golang.org），也不校验 checksum”，是私有模块管理的**必要开关** -
GOINSECURE=git.example.com：仅用于跳过 HTTPS 证书校验（比如私有 GitLab 启用了自签名证书），**不是替代认证的方案**；生产环境应优先配可信 CA，而非开GOINSECURE - 两者可共存，但
GOPRIVATE必须设置，否则go mod会尝试向 proxy 请求私有模块，直接 404
CI/CD 中私有模块拉取失败的典型修复步骤
GitHub Actions / GitLab CI 经常卡在 go mod download，根本原因是运行环境无 Git 凭据上下文。
- GitHub Actions：用
actions/checkout@v4默认不带权限；需显式配置token: ${{ secrets.PAT }}（Personal Access Token，权限含read:packages），并配合git config注入凭证 - GitLab CI：把
CI_JOB_TOKEN写进.netrc文件，再设GOPRIVATE=gitlab.example.com/*；注意路径匹配需完整，gitlab.example.com/sub不匹配gitlab.example.com/sub/project - 本地调试时，执行
go env -w GOPRIVATE=git.example.com/*，然后运行go mod graph | grep private确认模块是否被识别为私有
最易被忽略的一点：私有模块的 go.sum 文件不会包含校验值（因为 GOPRIVATE 关闭了 checksum 验证），这意味着你无法靠 go.sum 发现依赖篡改 —— 安全边界其实在 Git 仓库的访问控制和分支保护策略里，而不是 Go 工具链内。
