先运行go mod download补全go.sum校验和；检查go.sum是否被git忽略或误删；私有模块需配置goprivate，fork包用replace后执行go mod tidy和go mod download；ci中应先确保go.sum完整再运行govulncheck。

go build -mod=readonly 报 “missing go.sum entry” 怎么办

这不是代码包“未签名”，而是 go.sum 缺失对应模块的校验和记录，Go 拒绝加载以防篡改。常见于刚执行 go get 后未提交 go.sum，或 CI 环境拉取了新 go.mod 但缓存中没更新 go.sum。

• 先运行 go mod download —— 它会补全所有 require 条目（含 indirect）在 go.sum 中的 SHA256 校验和
• 确认是否误删了 go.sum：Git 状态里它应该被跟踪，别加进 .gitignore
• 若某 indirect 模块始终无法生成条目，检查它是否来自私有仓库且未配置 GOPRIVATE，导致 Go 尝试向 sum.golang.org 查询失败

为什么 govulncheck 不报错，但 CI 却卡在 go.sum 校验

govulncheck 只查 CVE，不参与模块完整性验证；而 go.sum 是 Go 构建时强制启用的校验机制，两者职责不同。即使漏洞库已修复，只要它的哈希没写入 go.sum，go build -mod=readonly 就会中断。

Go语言（Golang）1.26.0

Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。

下载

• go.sum 问题和安全漏洞是两个独立维度：一个管“是不是原版”，一个管“原版有没有 bug”
• CI 中应分两步：先 go mod download 确保 go.sum 完整，再跑 govulncheck ./ || exit 1
• 避免在 CI 脚本里用 go get 动态拉依赖——它可能触发隐式升级，导致 go.sum 新增未审核条目

如何让私有模块或 fork 包通过 go.sum 校验

Go 默认只信任 sum.golang.org 签名的公共模块。私有仓库、GitHub fork 或本地开发中的模块，必须显式绕过或替换校验源，否则 go.sum 无法生成有效条目。

• 对私有域名启用跳过校验：export GOPRIVATE=git.example.com/internal/*，这样 Go 不会查 sum.golang.org，而是直接记录本地计算的哈希
• 对 fork 包，用 replace 指向你的分支后，再执行 go mod tidy && go mod download，确保其哈希写入 go.sum
• 禁用 GOSUMDB（仅限可信离线环境）：export GOSUMDB=off，但生产 CI 绝对不要这么做

真正难处理的是间接依赖悄悄替换了行为

你看到的告警是 go.sum 缺失，但背后常是某个 indirect 模块版本被上游升级了——比如日志库从 v1.10.0 升到 v1.11.0，新增了默认 trace 字段，而你没感知。这类变更不会触发 CVE，govulncheck 不报，go.sum 却因哈希不匹配卡住。

• 用 go mod graph | grep 'your-logger' 查清谁引入了它
• 对比 git diff go.mod 看最近一次 go mod tidy 是否意外升级了间接依赖
• 对关键间接依赖（如 golang.org/x/net, google.golang.org/grpc），在 go.mod 里显式 require 并锁死小版本，防止 MVS 自动升破界

golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！