goproxy 可能导致敏感代码泄露，因其默认将私有模块路径（如 git.example.com/internal/lib）明文拼入 http 请求 url 发送给公共代理，暴露域名、路径及仓库结构；需正确配置 goprivate=git.example.com/* 等前缀白名单并确保 ci/cd 环境生效。
为什么 GOPROXY 可能导致敏感代码泄露
Go 模块代理（GOPROXY）默认会把模块请求转发到公共代理（如 https://proxy.golang.org），而它不区分模块来源——只要你的 go get 命令中包含私有路径（比如 git.example.com/internal/lib），Go 工具链就可能尝试向代理发起请求，暴露该域名、路径甚至 Git 仓库结构。这不是代理“偷看”你代码，而是客户端在解析 go.mod 时，把私有模块路径当作模块名直接拼进 HTTP 请求 URL，被中间代理日志捕获。
- 常见错误现象：
go mod download失败并返回404 Not Found或410 Gone，但公司内网审计日志发现对外发起了对proxy.golang.org的GET /git.example.com/internal/lib/@v/list请求 - 触发场景：项目依赖了私有 Git 仓库模块，且未正确配置
GOPRIVATE - 关键点：
GOPROXY本身不读取源码，但它会收到来自go命令的模块元数据请求，这些请求含路径明文
GOPRIVATE 必须覆盖所有私有模块前缀
GOPRIVATE 是 Go 工具链的“白名单”，告诉它：这些域名/路径下的模块跳过代理，直连 Git。但它不支持通配符递归匹配，必须显式列出或用 * 做一级通配（如 git.example.com/*），不能写成 git.example.com/**。
- 正确写法：
GOPRIVATE=git.example.com/*,github.com/my-org/private-*（逗号分隔，无空格） - 错误写法：
GOPRIVATE=*.example.com（*只匹配一级子域，不匹配路径）、GOPRIVATE=git.example.com/internal/*（go不识别二级路径通配） - 注意大小写：
GOPRIVATE值中的域名需与go.mod中module行声明的完全一致（如module git.EXAMPLE.com/lib就得写git.EXAMPLE.com/*） - 生效时机：设置后需运行
go mod tidy或go build才会重新解析依赖策略，旧缓存可能仍走代理
配合 git config 避免凭证泄露
即使设置了 GOPRIVATE，如果私有 Git 仓库用 HTTPS+账号密码认证，而用户又配置了全局 git credential.helper，那么 go 在拉取时可能把凭据拼进 URL（如 https://user:pass@git.example.com/repo），再被代理日志记录。这不是 GOPROXY 的问题，但常被一起触发。
- 推荐做法：改用 SSH 协议（
git@example.com:org/repo.git），或用git config --global url."ssh://git@git.example.com/".insteadOf "https://git.example.com/" - 检查当前行为：
go list -m all 2>/dev/null | grep 'git.example.com'看模块是否解析为 HTTPS URL - 临时验证：设
GOPROXY=direct+GOPRIVATE=*，再跑go mod download，观察是否仍有外网请求（用tcpdump或公司出口网关日志确认）
CI/CD 环境里最容易漏掉 GOPRIVATE
本地开发可能靠 IDE 或 shell profile 设置了 GOPRIVATE，但 CI 流水线用的是干净容器镜像，环境变量为空，go 默认仍会把私有路径发给 proxy.golang.org。更隐蔽的是：某些 CI 平台（如 GitHub Actions）的 setup-go Action 会自动注入 GOPROXY，却不会碰 GOPRIVATE。
立即学习“go语言免费学习笔记（深入）”；
- 必须显式注入：
env: { GOPRIVATE: 'git.example.com/*' }（GitHub Actions）、environment.GOPRIVATE（GitLab CI） - 不要依赖
.gitconfig：CI 容器里git config --global url...不影响 Go 模块解析逻辑 - 验证方式：在 CI 脚本开头加
echo "GOPRIVATE=$GOPRIVATE"和go env GOPRIVATE，确保值存在且非空
真正难排查的是混合代理场景：比如 GOPROXY=https://goproxy.cn,direct，其中 goproxy.cn 是国内镜像，但它同样会收到私有路径请求——很多人以为换国内代理就安全了，其实只要没设 GOPRIVATE，风险照旧。
