go.sum文件是防篡改的第一道防线，go工具链每次下载或构建时均校验模块sha-256哈希值，不匹配则阻断构建；必须提交至git，配合-mod=readonly使用才能真正保障依赖完整性与可重现性。

go.sum 文件是防篡改的第一道防线

Go 工具链在每次下载或构建依赖时，会把每个模块的校验和写入 go.sum。只要本地代码没动、go.mod 没变，后续 go build 或 go mod download 就会校验包内容是否与 go.sum 记录一致。不匹配就直接报错，例如：

verifying github.com/some/pkg@v1.2.3: checksum mismatch
	downloaded: h1:abc123...
	go.sum:     h1:def456...

这不是警告，而是阻断式失败——说明本地 vendor/、缓存或代理返回的内容已被修改（或被污染）。

启用 -mod=readonly 强制只读校验

默认情况下，go build 在发现 go.sum 缺失条目时会自动补全并写回文件；这会掩盖篡改行为。用 -mod=readonly 可关闭自动写入，让所有校验失败都暴露出来：

Alibabacloud Sdk Client Initialization For Golang

初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。

下载

• go build -mod=readonly ./... —— 任何缺失或不匹配的校验和都会中断构建
• CI 环境必须加这个参数，否则可能跳过验证 silently
• 本地开发中可配合 go mod verify 手动检查：它不改文件，只输出不一致项

vendor 目录不能替代 go.sum 校验

有人以为把依赖全放进 vendor/ 就安全了，其实不然：

• go mod vendor 只是复制当前 go.mod 解析出的包，不校验内容完整性
• 如果 vendor/ 被手动编辑（比如改了某 .go 文件），go build -mod=vendor 仍会静默使用——它不查 hash
• 真正能防篡改的是 go.sum + -mod=readonly 组合；vendor 只解决离线/网络一致性，不解决内容可信性
• 想验证 vendor 是否原始？运行 go mod verify && diff -r vendor/ $(go env GOCACHE)/download/...（不推荐日常用，仅调试）

容易被忽略的篡改入口点

真正危险的不是你改了 vendor，而是以下几种“合法但不可信”的操作：

• 用 replace 指向本地路径（如 replace github.com/x/y => ./local-fork）：绕过 go.sum 校验，且 CI 无法复现
• 通过 GOPROXY=direct 直连作者仓库：跳过官方 proxy 的缓存签名，可能拉到被劫持的 tag
• 手动编辑 go.sum：Go 工具链拒绝加载，但错误信息模糊（常报 “checksum mismatch” 而非 “modified go.sum”）
• 依赖中含 // indirect 条目却从未被 import 触达：可能是旧残留，也可能是某次 go get 意外引入了带 payload 的恶意子依赖

最稳妥的做法是：提交 go.sum 到 Git，CI 固定用 go build -mod=readonly，禁用 replace 指向本地路径，所有依赖走 GOPROXY=proxy.golang.org（或可信企业镜像）。

golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！