go.sum 通过固定模块路径和语义化版本（如 v1.9.3）或 commit hash（如 3f5e24b6）由 Go 工具链自动写入精确哈希，不可手动编辑；同一模块多行哈希分别对应源码（h1:）、go.mod 和极少见的 go.sum 校验，属正常机制。
go.sum 文件里怎么锁定某个包的精确哈希？
go.sum 不是用来“手动锁定”的，它是 go mod download 或 go build 自动记录依赖模块对应版本的校验和。想固定某个包的哈希，本质是固定它的模块路径 + 版本号，让 Go 工具链自动写入对应哈希。
常见错误现象：go.sum 里某行突然多出多个哈希（比如 h1: 和 go.mod），或同一模块不同版本哈希混在一起——这通常是因为你执行了 go get 没带 @vX.Y.Z，或者本地 go.mod 里用了 replace 却没同步更新校验和。
- 必须用完整语义化版本：比如
go get github.com/sirupsen/logrus@v1.9.3，不能只写@main或@latest - 如果模块没打 tag，得用 commit hash：例如
go get github.com/gorilla/mux@3f5e24b6，Go 会自动解析成v0.0.0-20230101000000-3f5e24b6abcd并记录对应哈希 - 执行后立刻检查
go.sum是否新增该行；若没变，说明没真正拉取新版本，可能是缓存或 proxy 干扰，可加-x参数看实际 fetch 行为
为什么 go.sum 里同一个包会出现两行甚至三行？
不是 bug，是 Go 的模块校验机制在区分不同内容：一行是模块源码哈希（h1: 开头），另一行是它的 go.mod 文件哈希（go.mod 后缀）。有些包还会额外有一行 h1: 对应其 go.sum（极少见）。
使用场景：当你 replace 一个模块到本地路径，或通过 go mod edit -replace 指向 fork 仓库时，Go 会重新计算并写入新哈希，但旧哈希仍保留在 go.sum 中——因为历史构建可能还依赖它。
立即学习“go语言免费学习笔记（深入）”；
- 不要手动删
go.sum行，否则下次go build可能报checksum mismatch - 想清理无用条目？运行
go mod tidy -v，它会自动剔除未被go.mod引用的哈希行（但不会删go.mod校验行） - 如果看到同一模块多个
h1:行对应不同版本，说明项目里确实同时间接引入了多个版本（比如 A 依赖 v1.2.0，B 依赖 v1.5.0），这是合法的，Go 会各自校验
CI/CD 中如何确保 go.sum 哈希不被意外改动？
核心是避免在构建流程中触发任何可能修改 go.sum 的命令，比如 go get、go mod tidy（除非明确需要更新依赖）。
性能与兼容性影响：每次 go build 都会校验 go.sum，但只要哈希匹配，开销几乎为零；一旦不匹配，构建直接失败，不给绕过机会。
- CI 脚本里禁用自动更新：不要写
go mod tidy，改用go mod verify快速检查完整性 - Git 提交前加钩子：运行
go mod graph | grep 'your-module' || true确认依赖路径没漂移，再跑go mod sum看是否输出空（非空说明有未提交的哈希变更） - 如果用了私有 proxy（如 Athens），确保它返回的模块 zip 和官方一致，否则
go.sum哈希对不上——这是最隐蔽的“哈希变来变去”原因
go.sum 被修改但没改 go.mod，会发生什么？
这种情况极少自然发生，通常是人为编辑或工具误操作导致。Go 工具链认为 go.sum 是派生文件，一切以 go.mod 为准；但如果 go.sum 缺失某行或哈希错，go build 会拒绝执行，报类似 missing checksums 或 checksum mismatch for github.com/xxx 的错误。
容易踩的坑：有人为了“修复 CI 失败”直接删掉 go.sum 里某行，结果下次本地 go build 又自动生成——因为本地环境拉到了不同镜像源的模块 zip，哈希天然不同。
- 正确做法：先确认
go.mod里该模块版本是否真被引用；如果不是，用go mod graph找出谁引的，再决定升级/降级/replace - 如果确定要强制重置，删掉整个
go.sum，然后运行go mod download（别用tidy，它可能顺手升级其他包） - 永远不要把
go.sum设为 gitignore——它就是用来做跨环境一致性校验的
哈希锁定真正的复杂点不在语法，而在模块代理、私有仓库、replace 和多版本共存之间的相互作用。哪怕只改一行 go.mod，都可能让 go.sum 增加五六行新记录——这不是冗余，是 Go 在替你记账。
