go mod tidy报gitls-remote exit status 128，本质是git认证失败：go调用系统git拉取私有仓库时未提供凭证，需配置windows凭据管理器或linux/macos的git credential.helper，并配合goprivate、goproxy=direct、gosumdb=off三者协同生效。
私有 Git 仓库拉取失败：go mod tidy 报 gitls-remote exit status 128
这是最典型的权限缺失表现，Go 尝试用 HTTPS 协议访问私有仓库（如 gitlab.company.com/group/project），但没带凭证，Git 直接拒绝连接，返回“项目未找到”或“无权限”。错误里出现 gitls-remote -q origin 就说明 Go 正在尝试解析远程 ref，卡在了认证环节。
关键不是改 go.mod，而是让 Git 自己能连上——Go 调用的是系统 Git，它怎么鉴权，Go 就怎么拉。
- Windows 用户：用 Windows 凭据管理器添加一条 Generic Credential，地址填
https://gitlab.company.com，用户名填你的 GitLab 账号，密码填个人访问令牌（PAT），**不要用登录密码** - Linux/macOS 用户：运行
git config --global credential.helper store，然后执行一次git ls-remote https://<username>:<token>@gitlab.company.com/group/project.git</token></username>（把<username></username>和<token></token>换成真实值），Git 会把凭证存到~/.git-credentials - 验证是否生效：直接运行
git ls-remote https://gitlab.company.com/group/project.git，能列出 refs 就说明通了；再跑go mod tidy才可能成功
GOPRIVATE 配置不生效：为什么 go env GOPRIVATE 显示正确却还是走代理？
GOPRIVATE 的作用是告诉 Go：“这些域名下的模块别走 GOPROXY，也别校验 GOSUMDB”，但它本身不提供认证能力。如果配置了 GOPRIVATE="gitlab.company.com" 却仍报错，大概率是环境变量没被构建过程读到。
常见坑点：
- Shell 启动方式影响：在 IDE（如 VS Code）里启动终端，可能加载的是不同 shell 的 profile，
go env GOPRIVATE看着对，但go mod tidy实际运行时读的是另一个环境。建议在终端里直接运行env | grep GOPRIVATE确认当前 session 生效 - Heroku 等平台需显式设置：不能只本地设，要在平台配置项里加
GOPRIVATE=gitlab.company.com，否则构建容器里没这个变量 - 子域名要写全：如果仓库地址是
gitlab.internal.company.com，只设GOPRIVATE=company.com不够，必须写成GOPRIVATE=gitlab.internal.company.com或用通配符GOPRIVATE=*.company.com
replace 指令失效：为什么写了 replace 还是去拉远程？
replace 是绕过远程拉取的最后手段，但它只在当前模块生效，且优先级低于 GOPRIVATE + 正常凭证流程。如果 replace 没起作用，通常是因为路径不匹配或被间接依赖绕过。
检查点：
- 路径必须完全一致：比如
go.mod里 require 的是gitlab.company.com/group/project，那 replace 就得写replace gitlab.company.com/group/project => ./local/project，少一个路径段都不行 - 不能用于间接依赖：A 依赖 B，B 依赖 C，你在 A 的
go.mod里 replace C，Go 会忽略——C 的版本由 B 的go.mod决定，A 无权覆盖 - replace 后必须
go mod tidy：写完 replace 不运行 tidy，Go 不会更新go.sum，下次 build 还可能回退去拉远程
内网环境无法访问 proxy.golang.org：GOSUMDB 和 GOPROXY 怎么协同关？
内网机器默认会尝试访问 proxy.golang.org 和 sum.golang.org，两者都失败就会卡住。需要同时关掉它们，但顺序和组合有讲究。
推荐配置（以 gitlab.company.com 为例）：
-
GOPROXY=direct：强制所有模块直连源站，不走任何代理 -
GOSUMDB=off或GONOSUMDB=gitlab.company.com：前者彻底关闭校验（适合完全可信内网），后者只对私有域跳过校验，更安全 -
GOPRIVATE=gitlab.company.com：配合上面两项，确保 Go 不把私有模块当公共包处理 - 三者缺一不可：只设
GOPROXY=direct不关GOSUMDB，Go 仍会尝试连sum.golang.org校验，超时失败
真正容易被忽略的是：这些变量必须在 go mod 命令执行时生效，而不是仅在开发机上设好就行——CI/CD 流水线、Docker 构建、远程服务器都要单独配置。
