go mod download 拉到“脏”模块是因为模块缓存不校验内容一致性，同一版本从不同代理源下载可能哈希不同，导致与go.sum记录不匹配；应使用go clean -modcache精准清理缓存，再运行go mod download重建，并统一配置稳定goproxy、确保go.sum纳入版本控制以避免问题复发。
为什么 go mod download 会拉到“脏”模块？
Go 模块缓存（$GOPATH/pkg/mod）本身不校验内容一致性——它只按 module path + version 存档，但不同时间、不同代理源下载的同一版本可能 hash 不同。当你本地已有缓存，而远程 go.sum 记录的 checksum 与缓存中实际文件不匹配时，go build 或 go mod verify 就会报 checksum mismatch 错误。
如何安全清掉“可疑”的缓存模块？
别直接 rm -rf $GOPATH/pkg/mod——太粗暴，会连带删掉 cache 和 download 目录，下次构建要重下所有依赖。推荐用 Go 自带命令精准清理：
-
go clean -modcache：只清模块缓存（pkg/mod/cache/download及pkg/mod/<module>@vX.Y.Z</module>），保留go.sum和本地 vendor（如有） - 若只想清某个模块：
go clean -modcache后再手动删$GOPATH/pkg/mod/cache/download/example.com/foo/@v/v1.2.3.zip和对应解压目录 - 清理后务必重新运行
go mod download，否则go build仍可能因缺失缓存失败
怎么避免下次又撞上缓存不一致？
关键不是禁用缓存，而是让缓存行为可预期：
- 始终设置稳定代理：在
~/.bashrc或~/.zshrc中固定export GOPROXY=https://proxy.golang.org,direct（国内可换为https://goproxy.cn），避免混用代理和 direct - 禁止跳过校验：确保没设
GOINSECURE或GOPRIVATE覆盖了本该校验的模块；检查go env GOPRIVATE是否误配 - CI 环境建议加
go mod verify步骤——它会逐条比对go.sum和缓存文件，提前暴露不一致
go.sum 文件被改写或丢失怎么办？
如果 go.sum 被 git 误删、手动编辑出错，或多人协作时未提交最新版，会导致 checksum 校验失败。此时不能靠“重生成”蒙混过关：
- 先确认当前
go.mod是干净的（git status无修改） - 运行
go mod tidy -compat=1.17（按项目要求指定兼容版本），它会重算依赖并更新go.sum - 若提示 “missing checksums”，说明某些 module 在 proxy 上无公开 checksum 记录——这时必须人工核对来源，或改用可信私有 proxy
- 切勿用
go mod init重建go.sum，它不会还原历史 checksum，只会生成空或不完整记录
GOPROXY 是否统一、go.sum 是否纳入版本控制、以及每次 go mod 操作是否在干净的 go.mod 基础上进行。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
