// indirect 标记表示该依赖是间接引入的，非直接 import，但需锁定版本以保证构建可重现；它参与构建和测试，不可手动删除，升级应通过 go get 或 go mod tidy 处理。
go.mod 文件里 require 语句的版本号为什么有时带 // indirect 标记
这是 Go Modules 自动推导出的间接依赖，不是你直接 import 的包，而是你依赖的某个模块内部用到的。它本身不会出现在你的代码里，但 Go 需要锁定它的版本来保证构建可重现。
常见错误现象：go mod tidy 后突然多出一堆带 // indirect 的行，甚至出现版本降级；或者本地能跑，CI 上报错说找不到某个符号——大概率是间接依赖版本不一致。
- 不要手动删掉
// indirect行：Go 会重新加回来，还可能选错版本 - 想升级某个间接依赖？先查谁在用它：
go mod graph | grep 'pkg-name' - 若确定要强制指定版本（比如修复安全问题），用
go get example.com/pkg@v1.2.3，Go 会把它提到require顶层并去掉// indirect -
indirect不代表“不重要”：它参与go build和go test的依赖解析，也影响go list -m all输出
go.sum 文件校验失败时该怎么处理
go.sum 是模块内容的哈希快照，一旦校验失败（比如报 checksum mismatch），说明你本地下载的 zip 包和 go.sum 记录的不一致——可能是网络污染、代理缓存、或上游恶意篡改。
典型触发场景：换机器拉代码、用公司代理拉包、从私有仓库同步模块后又切回官方源。
立即学习“go语言免费学习笔记（深入）”；
- 别急着
go mod download -replace或删go.sum：这等于放弃校验，埋下供应链风险 - 先确认是不是网络问题：
curl -I https://proxy.golang.org/example.com/@v/v1.2.3.info看返回是否正常 - 如果是私有模块，检查
GOPRIVATE是否包含对应域名，否则 Go 会走公共代理并写入错误哈希 - 真要重置校验值？运行
go mod download -dirty+go mod verify，再配合go mod tidy重建
go get 升级主模块版本时为什么没更新 go.mod
go get 默认只升级命令行里明确写出的包，不会自动同步整个模块的 go.mod 中其他依赖的版本。尤其当你执行 go get github.com/some/lib@v2.0.0，但该 lib 的 v2 版本要求其依赖的 golang.org/x/net 必须 ≥v0.12.0，而你当前 go.mod 里锁的是 v0.10.0 —— Go 不会主动帮你升。
后果：编译可能通过，但运行时报 undefined: xxx，因为底层函数在旧版 x/net 里还没实现。
- 升级主依赖后，立刻跟一句
go mod tidy：它会补全缺失的间接依赖、剔除未用项、并对齐版本约束 - 如果
tidy没解决问题，试试go get -u=patch（只升补丁）、-u=minor（升小版本）来批量松动约束 - 注意
go get -u默认只升直接依赖，加上-t才包括测试依赖 - 生产环境慎用
-u：它可能跳过你已验证过的中间版本，引入未知 break change
GO111MODULE=on 和 GOPROXY=https://goproxy.cn 的实际影响
这两个环境变量不是“开关”，而是决定 Go 如何定位和下载模块的策略。关掉它们（或设为 auto/off）会让 Go 回退到 GOPATH 模式，导致 go mod 指令失效、go build 找不到模块、甚至静默忽略 go.mod 文件。
国内常见误操作：只配了 GOPROXY 却没开 GO111MODULE，结果还是走本地 vendor 或 GOPATH，proxy 完全不生效。
-
GO111MODULE=on是硬性前提：只要项目根目录有go.mod，就强制启用 Modules，无视是否在 GOPATH 下 -
GOPROXY只影响下载行为，不影响版本解析逻辑；设成direct就直连原始仓库，设成空字符串则禁用 proxy（但可能因墙失败） - 私有模块必须同时配置
GOPRIVATE（如GOPRIVATE=git.internal.com/*），否则 Go 仍会尝试走 proxy 并报 404 - CI/CD 中建议显式导出这两个变量，避免依赖 shell 默认值；Dockerfile 里用
ENV GO111MODULE=on GOPROXY=https://goproxy.cn
模块版本语义、proxy 路由规则、sum 文件生成时机，三者耦合得比表面看起来紧得多。改一个地方，经常要连带看另外两个文件是否同步更新——尤其是跨团队协作时，有人 go mod edit -require 手动改了 go.mod，却忘了 go mod tidy，问题就藏在下次 CI 构建里。
