go mod tidy 仅移除未被显式导入的模块，无法识别条件编译或 build tag 引入的依赖；需先 go build ./... 覆盖所有构建变体再 tidy，并手动清理 go.sum 中孤儿条目，显式管理关键 indirect 依赖，拆分子 module 隔离风险，优先使用标准库或轻量替代方案。
用 go mod tidy 精准清理无用依赖
go mod tidy 不是“一键清干净”的万能命令，它只移除当前 go.mod 中未被任何 .go 文件显式导入的模块。如果你的代码里有 _ "some/unused/module" 或通过 build tag 条件编译引入的包，它们仍会被保留——因为 go mod tidy 默认不执行构建，无法感知条件依赖。
实操建议：
- 先运行
go build ./...确保所有构建变体都跑过，再执行go mod tidy，能更准确识别真正未使用的依赖 - 对含多平台
//go:build的项目，用GOOS=linux GOARCH=amd64 go build -tags dev ./...等组合触发对应路径，再 tidy - 检查
go.sum中残留的旧版本哈希：若某模块已从go.mod消失但go.sum还有记录，说明之前被间接依赖过；可手动删掉该行（go mod tidy不会自动清理go.sum的孤儿条目）
避免 indirect 依赖失控：主动控制主依赖版本
大量 // indirect 标记出现在 go.mod 中，本质是你没显式 require 那些模块，但它们被其他依赖拉进来了。这会导致升级困难、行为不可控——比如 github.com/some/lib v1.2.0 升级后悄悄带入了 golang.org/x/net v0.25.0，而你项目里另一处依赖却锁在 v0.18.0，冲突就藏在暗处。
解决思路：
立即学习“go语言免费学习笔记（深入）”；
- 对关键基础库（如
golang.org/x/net、golang.org/x/sys、google.golang.org/protobuf），即使没直接 import，也显式require并固定小版本（如require golang.org/x/net v0.25.0） - 用
go list -m all | grep 'golang.org/x/'快速扫出所有 x/ 系列间接依赖，挑出高频使用的做显式管理 - 警惕
replace的副作用：局部 replace 某个模块可能让其下游依赖解析路径突变，导致意外引入新 indirect 包
拆分 module 边界：用子模块隔离高风险依赖
一个 monorepo 里混着 HTTP server、CLI 工具、数据迁移脚本，却共用同一个 go.mod，很容易因 CLI 引入 spf13/cobra + spf13/pflag + fsnotify，把 server 的二进制体积和攻击面凭空撑大。
更轻量的做法是划分子 module：
- 在
cmd/cli/go.mod和cmd/server/go.mod各自初始化独立 module（go mod init example.com/cmd/cli） - 共享逻辑抽成内部库，如
internal/pkg/db，不发布、不加go.mod，由各 cmd module 直接 import 路径 - 避免跨 module 循环引用：子 module 只能依赖
internal/或外部稳定库，不能反向 import 其他 cmd 下的代码
替换或删除重量级依赖：优先选标准库或零依赖实现
有些第三方包功能单一却依赖庞大，比如为用一个 JSONPath 表达式去引入 github.com/oliveagle/jsonpath（依赖 github.com/stretchr/testify 测试库，又带进 github.com/davecgh/go-spew……），纯属依赖污染。
替代策略：
- 查标准库能否覆盖：JSON 解析+简单字段提取用
encoding/json+map[string]interface{}手动遍历，比引入整个 jsonpath 更可控 - 找“单文件”替代：如需 YAML 支持，
gopkg.in/yaml.v3是单模块，比github.com/go-yaml/yaml（v2/v3 混乱、间接依赖多）更干净 - 用
go mod graph | grep 'heavy/dep'定位谁在拉取它，再决定是改用轻量接口（如只依赖io.Reader而非具体 HTTP client 实现），还是彻底重写那几十行逻辑
依赖简化不是追求“最少行数”，而是让每个 require 都可解释、可审计、可替换。最常被忽略的是 build tag 分支和测试专用依赖——它们不会出现在生产二进制里，却常年躺在 go.mod 中，悄无声息地拖慢 go list 和 CI 缓存命中率。
