exclude 是“拒绝选择”而非删除，仅阻止 mvs 选特定版本，不删缓存或 go.sum；replace+require 才能覆盖依赖；droprequire 清理冗余 require；最终应推动上游发布修复版。
go.mod 中的 exclude 不是“删除”，而是“拒绝选择”
Go modules 没有提供直接“卸载旧版本”的命令，exclude 的作用是告诉 MVS（最小版本选择）算法：即使某个依赖链要求 v1.2.0，也禁止选它。它不会从 go.sum 或本地缓存中删包，只是让构建时跳过该版本。
常见误用场景：看到 go list -m all 里出现已知有严重漏洞的 github.com/bad/lib v1.2.0，就加 exclude github.com/bad/lib v1.2.0 —— 这能起效，但必须满足两个前提：
- 该版本确实被某个依赖间接引入（
go mod graph | grep bad/lib能查到路径） - 排除后，MVS 仍能找到其他满足所有依赖的兼容版本（比如
v1.3.1或v2.0.0+incompatible）
如果排除后无法满足依赖，go build 会报错：invalid version: excluded version github.com/bad/lib v1.2.0 is required。
replace + require 组合才是真正的“覆盖式废弃”
当 exclude 失效或你想主动降级/切换实现时，replace 更可靠。但它必须配合显式 require 才能生效——Go 不会自动把 replace 目标加入依赖图。
例如，你想彻底避开 github.com/old/auth v1.0.0，改用自己修复过的分支：
require github.com/old/auth v1.0.0<br>replace github.com/old/auth => github.com/your-fork/auth v1.0.0-fix
注意三点：
-
require行必须存在且版本号与原依赖一致（否则go mod tidy可能删掉它） -
replace右侧可以是本地路径（./fixes/auth）、私有 Git 地址，或带 commit hash 的 URL - 替换后运行
go mod tidy，确保go.sum更新了新源的校验和
go mod edit -droprequire 用于清理未使用的旧 require 行
项目迭代中，曾显式 require 过某个版本，后来代码删了相关 import，但 go.mod 里还留着那行 —— 这不算“废弃”，只是冗余。用 go mod edit -droprequire=github.com/old/lib 可安全移除。
但要注意：
- 它只删
go.mod中的声明，不碰go.sum；删完必须立刻go mod tidy，否则go.sum里残留的校验和会导致后续go build校验失败 - 不能删被间接依赖的模块（即使你没直接 import），否则
go mod tidy会把它加回来 - 执行前建议先
git diff go.mod确认目标行确实没被任何代码引用
真正要废弃一个版本，最终得靠上游发布新 patch
所有本地手段（exclude、replace、droprequire）都是临时补救。长期看，最优雅的方式是推动上游发布修复版（如 v1.2.1），然后你在 go.mod 中 require 它，并用 go get github.com/upstream/lib@v1.2.1 升级。
因为：
-
go.sum会记录新版本哈希，CI 流程无需额外配置就能校验 - 团队成员拉代码后
go mod tidy自动对齐，不用同步本地replace规则 - 避免因 fork 分支无人维护、commit hash 失效、或私有仓库权限变更导致构建突然中断
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
