go通过goprivate通配符匹配模块路径（如git.example.com/**）识别私有模块，goinsecure控制tls跳过，而git的ssl或ssh配置决定实际拉取行为，需确保环境一致性。
Go 如何识别私有模块路径
Go 不会自动把某个域名当作私有仓库，它靠 GOINSECURE、GOPRIVATE 和模块路径前缀三者共同决定是否跳过 HTTPS/证书校验、是否绕过代理、是否走私有源。关键判断逻辑是：如果模块路径（如 git.example.com/internal/utils）匹配 GOPRIVATE 中的通配符（支持 * 和 **），Go 就认为这是私有模块，后续才决定怎么拉取。
-
GOPRIVATE=git.example.com/*→ 匹配git.example.com/internal/utils，但不匹配git.example.com/foo/bar/baz（单星号只匹配一级） -
GOPRIVATE=git.example.com/**→ 匹配任意深度子路径 - 多个域名用逗号分隔：
GOPRIVATE=git.example.com/**,gitee.com/my-org/* - 不能写成
GOPRIVATE=*.example.com— Go 不支持域名通配符，必须写全或用**覆盖路径
为什么设置了 GOPRIVATE 还报 x509 证书错误
因为 GOPRIVATE 只控制“是否走代理”和“是否校验模块签名”，不控制 TLS 证书验证。如果你的私有 Git 服务用的是自签名证书或内网 CA 签发的证书，Go 默认仍会拒绝连接。
- 临时解决：加
GOINSECURE=git.example.com（仅限开发环境） - 生产推荐：把内网 CA 证书加入系统信任链，或通过
git config --global http."https://git.example.com/".sslCAInfo /path/to/ca.crt告诉 git 使用指定 CA - 注意：Go 的
go get在拉取时底层调用的是git命令，所以最终依赖 git 的 SSL 配置，不是 Go 自己的 HTTP 客户端
go.mod 中 replace 和 indirect 依赖怎么处理私有模块
私有模块一旦被引入，就和其他模块一样参与版本解析。但常见陷阱是：本地开发时用了 replace 指向本地路径，CI 构建时却因没设 GOPRIVATE 导致 go 去公共代理查模块，失败。
-
replace git.example.com/internal/utils => ./internal/utils是开发期便利写法，但提交前建议注释掉，否则别人 clone 后无法构建 - 如果私有模块有未打 tag 的变更，别依赖
latest或master，Go 不支持分支名作为版本；改用伪版本（如v0.0.0-20240520123456-abcdef123456）或打轻量 tag -
indirect出现在go.mod里，说明该模块是某依赖的依赖 —— 只要它的路径匹配GOPRIVATE，Go 就会按私有规则解析，无需额外配置
使用 SSH 协议拉取私有 Git 模块要注意什么
Go 本身不直接处理 SSH，而是交给 git。所以能否走 SSH，取决于 git 能否凭当前用户身份访问对应仓库。
立即学习“go语言免费学习笔记（深入）”；
- 确保
git clone git@git.example.com:org/repo.git在命令行能成功执行（即 ssh key 已添加、agent 正常、~/.ssh/config 配置正确） - 模块路径必须用 SSH 格式：比如
git.example.com/org/repo对应git@git.example.com:org/repo.git，Go 会自动转换协议 - 若遇到 “Permission denied (publickey)” 错误，不要改
go get参数 —— 问题在 git 层，检查ssh -T git@git.example.com输出 - 避免混用 HTTPS 和 SSH：同一域名下部分模块走 HTTPS、部分走 SSH，容易因凭证冲突导致不可预测行为
GOPRIVATE、git 的 credential helper、SSH agent 状态、甚至 shell 启动方式（是否加载了 keychain）都可能让 go build 在一台机器上成功、另一台失败。最稳妥的做法是把基础配置固化进项目根目录的 .env（配合 direnv）或 CI 脚本，而不是依赖开发者手动设置。 
