go.sum缺失或校验失败直接触发安全扫描告警，因snyk等工具依赖其哈希验证模块完整性；go mod download不生成go.sum，必须用go mod tidy完整刷新，且需正确配置goprivate、gosumdb等环境变量。
go.sum 文件缺失或校验失败直接导致安全扫描告警
安全扫描工具（如 Snyk、Trivy、GitLab Dependency Scanning）依赖 go.sum 中的哈希记录来验证每个模块是否被篡改。如果 go.sum 为空、条目不全，或某模块只有 go.mod 没有对应 .zip 校验行，扫描就会报 “missing signature”“no checksum found” 或 “insecure dependency”。这不是误报——Go 工具链本身在 go build 时也会拒绝加载未签名模块（除非关了 GOSUMDB）。
go mod download 不会补全 go.sum 已有模块的缺失条目
go mod download 只把源码拉进本地缓存（$GOPATH/pkg/mod/cache/download），它不触碰 go.sum，哪怕你删了整个 go.sum 再跑它，文件也不会自动生成。这是最容易踩的坑：以为“预下载”就等于“准备好校验”，结果 CI 扫描依然失败。
- 真正能完整生成/刷新
go.sum的命令是go mod tidy—— 它会解析go.mod、拉取所有间接依赖、校验哈希、写入go.sum - 如果
go.mod里有replace或exclude，go mod tidy仍会尝试校验被替换模块的原始版本（可能触发代理失败），此时需先确保GOPROXY和GOPRIVATE配置正确 - CI 中避免用
go mod download all替代go mod tidy；后者才是构建前的必做动作
私有模块没进 go.sum 的根本原因是 GOPRIVATE 没配对
当 go.mod 引用了 git.internal.company.com/mylib，但 GOPRIVATE 漏写了这个域名，Go 会强行把请求发给公共代理（比如 goproxy.cn），结果返回 404 或 403，go mod tidy 就卡住，go.sum 里自然没有这一行。扫描工具看到模块存在却无校验记录，立刻标红。
- 检查方式：
go env GOPRIVATE输出必须包含你的私有域名，支持通配符（如git.internal.company.com,github.com/my-org/*），**逗号分隔、无空格** - 若用 HTTPS 克隆，确保 Git 凭据已缓存：
git config --global credential.helper store，然后手动git clone一次触发输入 - 若用 SSH，确认
go.mod中模块路径是git@...格式，且~/.ssh/id_rsa已添加到目标平台
GOSUMDB 配置错误会让 go.sum 生成中途失败
默认 GOSUMDB=sum.golang.org 在国内无法访问，go mod tidy 在校验阶段会卡住或超时，最终 go.sum 缺少最后几个模块的条目。别关 GOSUMDB=off 应对扫描——这等于放弃安全校验，扫描工具反而会报更严重的 “checksum verification disabled”。
- 正确做法是切到国内可用的校验服务：
go env -w GOSUMDB=sum.golang.google.cn - 验证是否生效：
go env GOSUMDB应输出sum.golang.google.cn，不是空或off - 如果公司内网完全隔离外网，可设
GOSUMDB=off，但必须同步启用go mod vendor并将vendor/提交进仓库，让扫描工具基于实际代码而非远程哈希做分析
最常被忽略的一点：安全扫描失败往往不是某个模块的问题，而是 go.sum 整体处于“半生成”状态——可能因一次中断的 go mod tidy、或混用了 go mod download 和手动编辑 go.sum。修复前先清掉缓存污染：go clean -modcache，再从干净状态重跑 go mod tidy。
