“未知协议风险”指模块路径含非标准协议（如git://、ssh://）、自建proxy未信任域名或goinsecure豁免但无校验的依赖，其go.sum缺失h1校验和，无法经sum.golang.org验证，存在中间人篡改风险。
哪些包会被判定为“未知协议风险”
Go 本身不定义“未知协议风险”这个术语，它实际指向的是：go mod tidy 或 go list -m all 输出中，模块路径含非标准 scheme（如 git://、ssh://、hg://）或自建 proxy 不信任的域名，以及被 GOINSECURE 显式豁免但未加校验的模块。这类包不会出现在官方校验数据库 sum.golang.org 中，go sumdb 无法验证其哈希一致性，也就意味着你下载的代码可能被中间人篡改。
如何快速定位存在协议风险的依赖
运行以下命令，能筛出所有绕过 GOSUMDB 校验的模块：
go list -m -json all | jq -r 'select(.Replace == null and .Indirect == false) | .Path' | xargs -I{} sh -c 'go mod download -json {} 2>/dev/null | jq -r "select(.Error != null and .Error | contains(\"checksum mismatch\")) | .Path"' 2>/dev/null
更实用的做法是直接检查 go.sum 文件里有没有缺失校验行的模块 —— 正常模块每行末尾都有类似 h1:... 的校验和；如果某模块只有两行（路径 + 版本），没有第三行校验和，说明它没经过 sum.golang.org 验证。
- 常见高风险来源：
github.com/xxx/yyy被replace成git@xxx.internal:repo或https://gitlab.internal/zzz -
go get时用了-insecure参数，或设置了GOINSECURE=*.internal但没配GOPRIVATE - 模块使用了
file://或本地路径replace，这类路径根本不会触发校验
移除前必须确认的三类隐式依赖
不能只看 import，很多风险包是靠“副作用”存活的：
-
import _ "github.com/lib/pq"这类空导入：驱动注册全靠 init()，删了就 panic -
//go:embed引用的模板或配置文件所在模块，即使没 import，也可能被构建工具链拉入 - 通过
plugin.Open()或reflect.ImportPath()动态加载的包 ——go mod tidy完全看不到
验证方法：临时注释掉疑似风险模块的 require 行，再执行 go build -a ./... 和 go test -v ./...。如果失败，说明它仍在被间接使用；若成功，再检查运行时是否报错 plugin was not found 或 driver: unknown。
安全移除的操作顺序
顺序错了会留坑：
- 先关掉
GOSUMDB=off（如有），确保后续操作受校验约束 - 把所有
replace指向非 HTTPS 或内部 Git 的条目，改成指向可信镜像（如proxy.golang.org可缓存的公开版本），或升级到已发布在公网的标准 tag - 运行
go mod edit -droprequire github.com/bad/pkg删除目标模块（不要直接编辑go.mod） - 再跑
go mod tidy -compat=1.21 -v：-compat 启用更严格的构建约束解析，-v 能看到它是否悄悄把包又加回来了 - 最后检查
go.sum是否还有该模块的残留校验行 —— 如果有，说明某个子模块仍引用它，得用go mod graph | grep bad/pkg追源头
真正难处理的不是删不掉，而是删掉之后运行时才暴露问题：比如某个 SDK 内部用反射加载了已被删的加密库，编译不报错，启动后 panic。这种只能靠集成测试覆盖，没法靠静态分析预防。
