go mod download 默认不输出详细日志，需加 -v 参数或设置 godebug 环境变量（如 godebug=modloadverbose=1）才能显示下载地址、状态码、校验过程等关键信息；私有模块还需确认 goprivate 是否覆盖对应域名，否则会被代理转发导致 403。
Go模块下载失败时，go mod download 默认不输出详细日志
默认执行 go mod download 或触发隐式下载（如 go build）时，失败只会报类似 go: github.com/some/pkg@v1.2.3: unexpected status (https://proxy.golang.org/...): 403 Forbidden 这样的简短错误，根本看不出是代理拦截、证书问题，还是 GOPROXY 配置被绕过。
真正有用的调试信息藏在 -v（verbose）和 GOPRIVATE 相关环境变量里：
-
go mod download -v：显示每个模块的实际下载地址、重定向路径、HTTP 状态码 - 加
GODEBUG=modloadverbose=1：打印模块加载全过程，包括 checksum 验证、proxy fallback 判断、本地缓存命中与否 - 若涉及私有模块，确认
GOPRIVATE是否包含对应域名（如GOPRIVATE=git.example.com），否则 Go 会强制走公共 proxy，导致 401/403
为什么 go list -m -u all 的日志比 go mod download 更有用
go list -m -u all 不仅检查更新，还会触发完整模块解析链——它会逐个 resolve 每个依赖的版本，并报告哪些模块无法解析、哪些被 replace 覆盖、哪些因 require 版本冲突被降级。这比单纯下载更早暴露依赖图问题。
常用组合：
-
go list -m -u all 2>&1 | grep -E "(cannot|failed|invalid|no matching)"快速定位解析失败点 -
go list -m -json all输出结构化 JSON，适合脚本分析模块来源（Origin.URL字段能看出是否来自本地 replace、git URL 还是 proxy） - 注意：该命令受
GOINSECURE影响——若私有仓库用 HTTP，必须提前设GOINSECURE=git.example.com，否则直接卡住无日志
GOROOT/src/cmd/go/internal/modload 日志开关只对开发者有效？
不是。Go 官方没暴露 debug 日志开关给终端用户，但你可以用 go tool compile -gcflags="-m=2" 类比思路——实际有效的是 GODEBUG 环境变量，它被 Go 命令行工具直接读取。
关键可调参数：
-
GODEBUG=modulegraph=1：输出依赖图生成过程（节点合并、版本选择逻辑） -
GODEBUG=modfetch=1：记录每次 fetch 的 URL、响应头、body 截断内容（慎用，可能泄露 token） -
GODEBUG=modverify=1：验证 checksum 失败时显示原始 sum 和计算出的 sum，方便比对
这些不会改变行为，只增加 stdout/stderr 输出，且不影响 go.sum 写入或缓存逻辑。
代理配置错误导致静默跳过日志的典型场景
当 GOPROXY 设为 https://proxy.golang.org,direct，而第一个 proxy 返回 503，Go 会自动 fallback 到 direct——但这个过程默认不打日志，你以为下载成功了，其实走的是慢速 direct 模式，还可能因缺少 GOINSECURE 卡死。
验证方式：
- 临时设
GOPROXY=https://nonexistent.example.com,direct，再跑go mod download -v，观察是否出现Fetching ... from https://nonexistent.example.com/...后 fallback 提示 - 用
tcpdump -i lo port 80 or port 443抓包，看实际连接的是 proxy 还是模块源站 - 检查
~/.cache/go-build和~/go/pkg/mod/cache/download下文件时间戳——direct 模式下载的包时间较新，proxy 下载的通常带.info文件
真正麻烦的是混合代理场景：公司内部 proxy 对某些域名放行，对另一些返回 200 空响应，Go 会当成“成功下载空包”并缓存，后续构建反复失败却无明确提示。
