go get 拉取指定分支或 tag 必须用 @ 显式标注版本，不加 @ 默认拉 main 或 master 最新提交；go.mod 中版本无法阻止 go get -u 升级，锁版本需明确指定 @vx.y.z、@branch 或 @commit。
go get 拉取指定分支或 tag 时，必须用 @ 显式标注版本
不加 @ 默认拉最新 main 或 master，哪怕你本地 go.mod 里写的是 v1.2.3，go get 仍可能升级到新提交。想锁死，就得明确告诉 Go：我要这个 commit、这个 tag、这个分支的 HEAD。
常见错误是直接写 go get github.com/user/repo branch-name —— 这会报错：unknown revision branch-name，因为 Go 不识别空格分隔的版本，只认 @ 后缀。
-
go get github.com/user/repo@v1.2.3：拉 tag，要求该 tag 在远程存在且有对应go.mod -
go get github.com/user/repo@main：拉main分支最新 commit（注意不是master，很多仓库已切 main） -
go get github.com/user/repo@fix/auth-bug：拉指定分支（前提是该分支在远程存在） -
go get github.com/user/repo@3a1b2c：拉指定 commit hash（前 7 位足够）
go.mod 里写死了版本，为什么 go get -u 还会升级？
go get -u 的默认行为是“升级到允许范围内的最新版本”，它会忽略 go.mod 中当前记录的 @vX.Y.Z，转而查模块的最新 tag 或主干。这不是 bug，是设计如此——-u 就是为升级服务的。
真正锁版本的方式只有两个：
立即学习“go语言免费学习笔记（深入）”；
- 不加
-u，直接go get github.com/user/repo@v1.2.3，Go 会更新go.mod并下载对应版本 - 用
go get -d（仅下载不构建）+go mod edit -require手动修正，但没必要，第一种更直觉
顺带一提：go get -u=patch 只升 patch 级别（如 v1.2.3 → v1.2.4），但它仍可能跳过你手动指定的 v1.2.3，去拉 v1.2.4 —— 所以“指定即锁定”，别依赖 -u 来保版本。
私有仓库 + 分支名含斜杠（如 feature/login-flow）怎么处理？
斜杠本身不是问题，Go 原生支持，但容易被 shell 或 CI 脚本误解析。最稳妥的做法是把整个 path@ref 用英文引号包起来：
- ✅
go get "github.com/internal/pkg@feature/login-flow" - ❌
go get github.com/internal/pkg@feature/login-flow（shell 把/login-flow当路径了）
另外注意：如果该分支没打过 tag，且没有 go.mod 文件（或 go.mod 里 module 名和导入路径不一致），go get 会失败并报 missing go.sum entry 或 unknown revision。此时得确认对方仓库是否已正确初始化 Go 模块。
拉完之后发现版本没生效？检查 go.sum 和 replace 干扰
即使 go.mod 显示 v1.2.3，实际编译仍可能用旧版，原因常有两个：
-
go.sum缓存了旧哈希，导致 Go 认为“这版我下过了”，跳过校验；运行go mod download -dirty或删掉go.sum重试可验证 -
go.mod里有replace规则，比如replace github.com/user/repo => ./local-fork，它会完全绕过远程拉取逻辑，所有引用都走本地路径
判断是否真用了目标版本，最准的方法是看 go list -m -f '{{.Version}}' github.com/user/repo 输出，而不是只盯 go.mod 文件内容。
分支和 tag 的语义差异其实很轻——Go 不区分“稳定”或“开发中”，只认 commit。所以别迷信 v 开头就安全，也别怕用 main，关键是你测试过那一个 commit。
