go默认goproxy=https://proxy.golang.org,direct在国内因dns污染、连接超时和tls失败基本不可用，且仅配goproxy不配gosumdb会导致校验阶段中断；必须同步设置gosumdb=off（开发）或sum.goproxy.cn（生产），并为私有模块配置goprivate豁免代理。
为什么直接用默认 GOPROXY 会卡住或超时
Go 默认的 GOPROXY=https://proxy.golang.org,direct 在国内基本不可用：DNS污染、连接超时、TLS握手失败都很常见。你执行 go mod tidy 时卡在某个模块上，或者报 Get "https://proxy.golang.org/...": dial tcp: i/o timeout，不是你网络差，而是这个地址常年无法稳定连通。
更麻烦的是，即使下载成功，后续校验阶段还可能因 GOSUMDB=sum.golang.org 不可达而中断，报错类似 verifying github.com/some/pkg@v1.2.3: checksum mismatch —— 实际是校验请求根本没发出去，工具链误判为内容被篡改。
- 不要尝试反复重试，默认代理在多数 ISP 下成功率低于 5%
- 别把问题归咎于公司防火墙，这是公网级访问障碍，和内网策略无关
-
direct作为 fallback 并不等于“绕过代理”，它只是退回到直连 GitHub/GitLab 等源站，而这些站点同样受限
必须同时配置 GOPROXY 和 GOSUMDB 才算生效
只配 GOPROXY 不配 GOSUMDB，等于只解决了下载问题，校验环节仍会失败。国内镜像服务（如 goproxy.cn）通常自带 sumdb 代理能力，但需显式启用。
推荐一次性配全：
go env -w GOPROXY=https://goproxy.cn,direct go env -w GOSUMDB=off
注意：GOSUMDB=off 是开发阶段最稳妥的选择——它跳过远程校验，仅依赖本地 go.sum 文件比对。只要团队统一提交 go.sum，安全性不受影响。生产构建若需强校验，可换为 GOSUMDB=sum.goproxy.cn（七牛提供），但需确认该地址可达。
- 避免用
GOSUMDB=sum.golang.org+ 国内GOPROXY的组合，二者不同源，校验必然失败 -
GOSUMDB=off不影响go.sum生成和更新，只关闭远程校验请求 - 如果项目含私有模块，
GOSUMDB=off可避免因私有库无校验记录导致的报错
私有仓库必须加 GOPRIVATE，否则 403 或 module lookup failed
当你引用 git.example.com/internal/pkg 这类私有路径时，Go 默认仍会把请求转发给 GOPROXY，结果得到 403 Forbidden 或 module git.example.com/internal/pkg: not found。这不是代理没配好，是 Go 强制要求私有域必须豁免代理。
正确做法是明确声明哪些域名不走代理：
go env -w GOPRIVATE="git.example.com,github.com/my-org/*"
支持通配符和逗号分隔，但不能有空格。如果私有库用 SSH 地址（如 git@git.example.com:xxx），也要确保对应域名出现在 GOPRIVATE 中。
- 错误示例：
GOPRIVATE=*.example.com—— Go 不支持*前缀通配，必须写全域名或用github.com/org/*这种路径式通配 - 调试时可临时加
GOPROXY=direct验证是否真为代理干扰，但最终必须靠GOPRIVATE解决 - CI/CD 环境里漏配
GOPRIVATE是导致构建失败的高频原因
内网环境不能只靠镜像，得搭私有代理或用 vendor
纯内网（完全断外网）场景下，goproxy.cn 这类公网镜像毫无意义。此时只有两个可靠选项：
一是搭私有代理服务（如 athens 或 goproxy），部署在内网服务器上，预先同步所需模块，再配置 GOPROXY=http://192.168.1.100:8080；
二是退回到 vendor 模式，用 go mod vendor 把所有依赖打进项目目录，后续构建完全离线：
go mod vendor go build -mod=vendor
注意：-mod=vendor 必须显式加，否则 Go 仍会尝试读取 $GOPATH/pkg/mod。
- vendor 方案适合交付物打包、嵌入式部署等场景，但会增大 Git 仓库体积
- 私有代理更适合长期迭代项目，首次同步耗时长，但后续增量快
- 别混用：已启用
GOPROXY时再执行go mod vendor，可能拉到代理缓存里的非预期版本
GOSUMDB 默认开启却没人告诉你它和 GOPROXY 必须同源，或者 GOPRIVATE 漏配后报错信息完全不提示真实原因。这些点不手动验证一遍，光抄命令没用。
