应使用具体 commit hash 或 replace 代替 @master/@main：commit hash（如@7a4f52b8d1e9c0a2f3b4e5d6c7f8a9b0c1d2e3f4）确保不可变快照；replace 指向本地路径仅限开发调试，上线前必须删除并 go mod tidy。
直接用 @master 或 @main 会破坏构建稳定性
很多开发者看到某个库还没发正式版，就随手写 go get github.com/user/lib@master，结果是：本地能跑，CI 失败，同事拉代码后 go build 报校验和不匹配。原因很简单：@master 指向的是分支最新 commit，它随时可能被 force push 覆盖或重写历史，go.sum 里存的哈希就失效了。
推荐做法：用具体 commit hash 锁定不可变快照
只要你知道那个测试库当前可用的、稳定的 commit，就用它的完整 hash（40位）来引入：
go get github.com/user/lib@7a4f52b8d1e9c0a2f3b4e5d6c7f8a9b0c1d2e3f4
- 这个 hash 是 Git 对象的 SHA-1 校验值，不可篡改，
go.sum能稳定校验 - 后续别人 clone 项目，只要该 commit 还在远程仓库里，就能精确复现依赖
- 比
@v0.0.0-20240101120000-7a4f52b8d1e9这类 pseudo-version 更直观、更可控
开发调试阶段用 replace 指向本地路径
如果你自己就是那个测试库的维护者，或者需要频繁改它的代码，就别从远程拉了——直接在主模块的 go.mod 里加 replace：
replace github.com/user/lib => ../lib-local
-
../lib-local必须是包含go.mod的目录，且其module行要和 replace 左侧完全一致 - 这条指令只影响当前模块构建，不会上传、不会影响他人，也不进
go.sum - 上线前必须删掉
replace行，并用go mod tidy拉取真实版本，否则部署会失败
千万别用 exclude 或 go get -u 应对测试库
有人遇到测试库引发冲突，就想用 exclude github.com/user/lib v0.1.0 临时绕过，或者用 go get -u 强制升级其他依赖来“冲掉”问题——这两条路都走不通：
-
exclude只跳过特定版本，但无法解决“根本没发布版本”的情况；而且它不阻止间接依赖引入，容易漏掉 -
go get -u会无视语义化约束，把所有依赖升到最新 minor，极易引入 breaking change，尤其在测试库本身不守 SemVer 时 - 真正该做的是：确认测试库是否提供可锁定的 tag / hash / pseudo-version，没有就联系作者打一个
测试阶段的依赖最怕“看似能用、实则漂移”，关键不是怎么拉进来，而是怎么让它稳住不动——commit hash 和 replace 是仅有的两个可靠锚点，其余都是临时补丁，迟早要返工。
