go.sum是校验器而非保险柜，仅被动比对模块zip和go.mod的sha-256哈希，无法阻止初始恶意引入、goproxy伪造或gosumdb关闭导致的静默替换，须配合gosumdb透明日志、go mod verify -v、vendor物理隔离及ci门禁等分层防护。
不能只靠 go.sum 文件自动防御，必须主动验证、分层拦截、人工确认。
go.sum 不是“防替换”的保险柜，而是“校验器”
go.sum 记录的是每个模块 ZIP 包和 go.mod 文件的 SHA256 哈希值，它只在 go build 或 go mod download 时被动校验——如果远程模块被恶意替换成同名同版本但内容篡改的包，且攻击者能同步伪造哈希并推送到你配置的 GOPROXY，go.sum 就会“安静地”接受它。
- go.sum 无法阻止初始拉取时的恶意模块（比如第一次
go mod tidy就引入了带后门的包） - 若你设了
GOSUMDB=off或用私有代理但未开启校验日志（如sum.golang.org的透明日志），哈希可被绕过 - 子模块各自维护独立
go.sum，主模块不自动继承或校验它们——go mod verify默认只检查当前模块
必须启用 GOSUMDB 并验证透明日志
GOSUMDB 是 Go 官方维护的校验和数据库，它把所有公开模块的哈希写入不可篡改的透明日志（类似 Certificate Transparency）。只要它在线且未被禁用，就能发现同一版本号下哈希值是否被多个来源提交过异常差异。
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
- 默认
GOSUMDB=sum.golang.org，国内访问慢但不可绕过；若因网络问题临时设为off，必须配合go mod verify -v手动比对本地go.sum与原始源（如 GitHub tag commit）的哈希 - 运行
go mod verify -v会输出每个模块的校验结果，出现missing or invalid checksum说明已被静默替换或本地缓存损坏 - CI 中应强制加
GOFLAGS="-mod=readonly"，让任何试图修改go.sum的操作（如意外go get）直接失败，而不是悄悄更新
用 govulncheck + go list -m -json 锁定可信来源
静默替换常发生在间接依赖链深处，比如 github.com/A/B 依赖 github.com/C/D，而 C/D 被换包。仅看主模块的 go.sum 会漏掉。
- 执行
go list -m -json all输出全部模块的路径、版本、Origin字段（Git URL 和 commit），对比是否与预期发布源一致（例如是否从github.com/official/repo拉取，而非镜像站或 fork） -
govulncheck -json不仅报漏洞，还会显示每个模块的Source和Version，若发现某模块Source是https://evil-mirror.net/@v/v1.2.0.zip，立刻阻断 - 对关键依赖（如
crypto/相关、HTTP 客户端、序列化库），在 CI 中用脚本提取Origin.Repo并白名单校验，例如只允许github.com/golang/net、golang.org/x/crypto
vendor 目录不是万能解药，但能切断远程替换路径
启用 go mod vendor 后，go build -mod=vendor 完全忽略远程模块和 GOPROXY，只读 vendor/ 下的代码——这意味着，只要 vendor/ 本身没被篡改，供应链就物理隔离。
- 必须把
vendor/提交进 Git，并在 CI 中校验其完整性：sha256sum vendor/**/* | sha256sum存档备案 - 注意：
go mod vendor不会复制replace指向的本地路径模块（如./lib），那些仍走文件系统读取，需额外cp -r ./lib vendor/lib并手动维护 - vendor 模式下
go.sum仍需保留并提交，因为go mod verify仍依赖它校验 vendor 内容是否与声明一致
真正难防的不是公开仓库里的替换，而是你信任的私有模块被内部人员或 CI 环境污染——比如有人偷偷改了 git.internal.company.com/shared/utils 的 v1.0.0 tag 指向恶意 commit，而你的 go.sum 里记录的还是旧哈希。这时候，GOFLAGS="-mod=readonly" 和定期 go mod verify -v 就是你最后的防线。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
