根本原因是direct缺失或位置错误；go会将所有模块请求发给第一个代理，若其无法解析内网域名则直接报错，而非fallback，必须确保goproxy末尾为,direct且无空格、换行。
为什么设了GOPROXY还是拉不到私有模块
根本原因是 direct 缺失或位置错误。Go 会把所有模块请求都发给第一个代理，包括 git.internal.company.com 这类内网地址；一旦代理无法鉴权或解析域名，就直接报 404 或 timeout，而不是 fallback。
必须确保 GOPROXY 值末尾是 ,direct，且中间不能有空格、换行或分号：
-
https://goproxy.cn,direct✅ -
https://goproxy.cn, https://mirrors.aliyun.com/goproxy/,direct❌（空格导致第二项被忽略） -
https://goproxy.cn,direct❌（末尾空格让direct失效）
验证方式：运行 go env GOPROXY，输出必须严格等于你设置的字符串；再试 go list -m git.internal.company.com/internal/pkg@latest，能返回版本即说明直连生效。
go mod download 卡在 proxy.golang.org 怎么办
不是网络慢，是 Go 工具链压根没读到你的 GOPROXY 设置——常见于 Shell 启动新进程时未继承环境变量，或 IDE 没 reload 环境。
实操建议：
- 终端里先执行
export GOPROXY=https://goproxy.cn,direct（Linux/macOS）或$env:GOPROXY="https://goproxy.cn,direct"（PowerShell），再跑命令 - 用
go mod download -x github.com/gin-gonic/gin@v1.9.1加-x查真实请求地址，确认日志里出现的是GET https://goproxy.cn/...而非proxy.golang.org - GoLand / VS Code 需重启或重载终端，否则仍读旧环境
checksum mismatch 是代理问题吗
不是。这是本地缓存和镜像源状态不一致导致的校验失败，GOPROXY 正常时也常发生。
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
优先尝试以下三步，别急着关校验：
- 运行
go clean -modcache清掉全部本地模块缓存 - 检查
go.mod里是否有replace指向本地路径却没删// indirect标记——这会让 Go 错误计算 checksum - 对单个模块临时绕过：
go get -insecure github.com/xxx/yyy（仅调试用）
全局禁用 GOSUMDB=off 或设 GOINSECURE=* 会破坏依赖完整性，CI/CD 中严禁使用。
离线环境怎么预缓存模块
没有外网时，靠 go mod download 提前拉取并打包是最可靠方式，不是靠“本地镜像服务”。
操作要点：
- 在有网机器上进项目根目录，执行
go mod download，所有模块会存进$GOPATH/pkg/mod/cache/download/ - 把整个
$GOPATH/pkg/mod目录打包带走，放到离线机器相同路径下 - 离线机器无需设
GOPROXY，go build会自动读本地缓存 - 若需 CI 流水线复用，把
pkg/mod目录挂载为持久卷，比搭私有 proxy 更轻量稳定
真正容易被忽略的是：direct 不是可选项，它是私有模块能工作的唯一通道；而 go clean -modcache 比反复改 GOPROXY 更快解决 90% 的拉取失败。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
