Go mod拉取GitLab私有仓库失败主因是HTTPS认证失败，应改用SSH协议：配置core.sshCommand、url.insteadOf重写、GOPRIVATE匹配路径前缀，并确保私钥权限为600。
Go mod 无法拉取 GitLab 私有分组仓库的常见报错
最典型的现象是执行 go mod tidy 或 go build 时卡住几秒后报错：fatal: could not read Username for 'https://gitlab.example.com': terminal prompts disabled，或者更隐蔽的 module github.com/xxx/yyy: reading https://gitlab.example.com/api/v4/...: 401 Unauthorized。这不是 Go 本身的问题，而是 Git 在背后用 HTTPS 或 SSH 协议访问远程仓库时认证失败。
用 SSH 协议替代 HTTPS 是最稳的解法
GitLab 私有分组下仓库默认走 HTTPS，但 Go 的 go mod 不会自动读取 ~/.netrc 或浏览器登录态；而 SSH 只要本地有对应私钥且已添加到 GitLab 账户，就能静默通过。关键不是“能不能用 SSH”，而是 Go 是否能识别并正确调用它。
- 确保 Git 配置中已设置
core.sshCommand（尤其 macOS 或 Windows OpenSSH 版本较新时）：git config --global core.sshCommand "ssh -i ~/.ssh/id_rsa_gitlab" - 在
~/.gitconfig中为 GitLab 域名配置 URL 重写：[url "git@gitlab.example.com:"] insteadOf = "https://gitlab.example.com/" - Go 模块路径必须与 SSH 克隆地址一致：比如仓库 SSH 地址是
git@gitlab.example.com:my-group/my-lib.git，那go.mod里就得写module gitlab.example.com/my-group/my-lib（注意没有git@、没有.git、路径用斜杠而非冒号） - 验证是否生效：运行
git ls-remote git@gitlab.example.com:my-group/my-lib.git HEAD能成功返回 commit hash，go mod download gitlab.example.com/my-group/my-lib才可能成功
go get -insecure 和 GOPRIVATE 容易配错
GOPRIVATE 不是“让 Go 忽略证书校验”，而是告诉 Go：“这些域名下的模块，别走公共代理，也别强制走 HTTPS，允许按 Git 配置的协议直连”。漏设或设错会导致 Go 仍尝试走 proxy 或 HTTPS 认证流。
- 必须把完整域名+路径前缀加进
GOPRIVATE：比如export GOPRIVATE=gitlab.example.com/my-group/*（支持通配，但不能只写gitlab.example.com，否则子分组不生效） -
go get -insecure已被弃用，且对 GitLab 私有库无效——它只影响 HTTP（非 HTTPS）模块获取，而 GitLab 默认不开 HTTP 端口 - 如果用了自签名证书的 GitLab 实例，还要额外配
GIT_SSL_NO_VERIFY=true，但这和 Go 模块无关，只影响 Git 自身的 HTTPS 请求
私钥权限和 SSH Agent 是隐形拦路虎
即使 git clone 成功，go mod 仍可能失败。因为 Go 内部调用的是 git 命令，而该命令是否能读取私钥，取决于它启动时的环境和权限上下文。
立即学习“go语言免费学习笔记（深入）”；
- 私钥文件权限必须是
600（chmod 600 ~/.ssh/id_rsa_gitlab），否则 OpenSSH 直接拒绝加载 - 如果用了
ssh-agent，确保go进程能继承SSH_AUTH_SOCK环境变量；CI 场景下常因 shell 类型（如shvsbash）或非交互式登录导致 agent 未激活 - 临时调试可用
ssh -T -i ~/.ssh/id_rsa_gitlab git@gitlab.example.com看是否打印出 “Welcome to GitLab” —— 这步通了，go mod才有希望
真正卡住的往往不是配置项本身，而是 Git 的协议选择逻辑和 Go 的模块路径解析之间那层隐式映射：Git 认为 gitlab.example.com/group/repo 是 HTTPS 地址，而 Go 拿到这个路径后不会自动转成 git@gitlab.example.com:group/repo.git。得靠 insteadOf 和 GOPRIVATE 两层配合，才能让整个链路静默跑通。
