根本原因是go工具链调用git拉取模块时，本地git配置（如ssh密钥、https证书、.ssh/config host匹配、goprivate路径通配符）与模块url不匹配，导致git底层失败，而go仅透传错误。
Git 配置不匹配导致 Go 模块拉取中断，根本原因不是 Go 本身出错，而是 go get 或 go mod tidy 底层调用 git 命令时失败——Go 不管 SSH 还是 HTTPS，只管执行 git，而 git 的行为完全由你的本地配置决定。
为什么 git clone 成功但 go mod tidy 失败
常见现象：手动 git clone https://git.example.com/internal/utils 能成功，但 go mod tidy 却报 permission denied (publickey) 或 fatal: unable to access 'https://...': SSL certificate problem。这是因为：
- Go 默认用 HTTPS 协议拉取模块，即使你本地
git clone习惯配了 SSH，go工具链不会自动切换协议 - HTTPS 场景下，证书校验由
git执行，而git的 SSL 配置（如http.sslCAInfo）可能未设或指向错误路径 - SSH 场景下，
git依赖~/.ssh/config和私钥权限；若私钥无读权限（chmod 600缺失）、或ssh-agent未加载、或~/.ssh/config中 Host 别名没覆盖模块路径中的域名，就会静默失败
GOPRIVATE 配了但还是走代理
GOPRIVATE 只告诉 Go “这个路径是私有模块，别发给公共代理”，但它不改变 Git 如何拉取——如果模块路径是 git.example.com/internal/utils，而你只设了 GOPRIVATE=git.example.com/*，那没问题；但如果模块路径是 example.com/internal/utils（少了个 git.），Go 就认为它不匹配，仍会尝试走 GOPROXY，结果 404 或 timeout。
- 检查实际 import 路径是否与
GOPRIVATE完全匹配：go list -m all | grep example - 通配符必须覆盖完整路径段：
GOPRIVATE=example.com/**才能匹配example.com/internal/utils和example.com/foo/bar/baz - 多个域名用英文逗号分隔，不能有空格：
GOPRIVATE=git.example.com/**,gitee.com/my-org/* - 确认环境变量已生效：
echo $GOPRIVATE，CI 中需显式export GOPRIVATE=...
SSH 协议下 git 认不出 Host 别名
比如模块路径是 git@git.example.com:org/repo，但你的 ~/.ssh/config 写的是：
Host example.com HostName git.example.com User git IdentityFile ~/.ssh/id_rsa
这不行——git 解析 URL 时，只认 Host 字段值严格等于 URL 中的主机名。这里 URL 主机名是 git.example.com，但配置里写的是 example.com，不匹配。
- 正确写法：
Host git.example.com - 如果模块路径是
ssh://git@git.example.com/org/repo，也要确保Host行和 URL 中的主机名一致 - 测试配置是否生效：
ssh -T git@git.example.com（注意不是ssh -T git@example.com） - 避免混用协议：在
go.mod里不要手动把git.example.com改成github.com类似写法，否则go mod tidy会去公共源找
CI 环境里 Git 凭证失效却只报模糊错误
CI 日志里只显示 go: git.example.com/internal/utils: module git.example.com/internal/utils: git ls-remote -n origin in /tmp/...: exit status 128，没有具体原因。这是典型凭证缺失，但 Git 把错误吞掉了。
- 在 CI 脚本开头加诊断命令：
git config --get-regexp 'http.*ssl' && git config --get-regexp 'core.sshCommand' - 确保 CI runner 有正确的 SSH key 或 HTTPS token：GitHub Actions 用
actions/checkout@v4默认不带子模块凭证，需额外配置token参数 - 私有子模块场景下，
git clone --recursive不够，必须加--recurse-submodules并配合git submodule sync - 临时调试可在 CI 中加
set -x，让go mod tidy展开底层 git 命令，看到真实失败点
最常被忽略的一点：Go 从不自己做网络请求，所有拉取动作都外包给 git。排查时别只盯着 go.mod 或环境变量，先验证 git 在当前环境下能否干净地 clone 那个 URL——这才是真正可靠的起点。
