go build在ci中报403是因私有模块鉴权丢失，需设goprivate跳过代理、用git config insteadof固化凭证、每个job重复配置，避免凭据未继承。
为什么 go build 在 CI 里突然报 module github.com/xxx/yyy: reading https://www.php.cn/link/1dc907539dc8fc57e6b3cbf1a276ccce/xxx/@v/v1.2.3.mod: 403 Forbidden
这不是网络不通，也不是模块不存在——是鉴权凭据在 pipeline 多阶段间丢失或过期。Golang 的 go 命令本身不维护长期 token，它依赖环境变量（GIT_AUTH_TOKEN）、.netrc、SSH agent 或 GOPROXY 后端的缓存策略。CI 环境（尤其是多 job、跨 runner、重用 workspace）常导致这些凭据未被正确继承或刷新。
- 多阶段 job 中，前一阶段写入的
~/.netrc默认不会自动复制到下一阶段，除非显式挂载 volume 或用cache指令保留 - 使用
GOPROXY=@#@#@#@#@#@#@#@#@#@0时，私有模块会 fallback 到 direct fetch，而 direct fetch 依赖 Git 凭据，此时若没配置 SSH key 或 token，就直接 403 - GitHub Actions 的
actions/checkout@v4默认不启用persist-credentials: true，导致后续go mod download拿不到 repo 权限
如何让 go mod download 在任意 CI 阶段都稳定命中私有模块
核心思路：把鉴权“固化”进 Go 的模块拉取链路，而不是靠环境临时拼凑。
- 显式设置
GOPRIVATE=github.com/your-org/*（多个用逗号分隔），避免 proxy 强制拦截私有路径 - 用
git config --global url."@#@#@#@#@#@#@#@#@#@1 "@#@#@#@#@#@#@#@#@#@2"替换所有 HTTPS 地址，比.netrc更可靠（尤其在容器化环境中） - 如果用 SSH 克隆，确保 CI runner 上已加载对应 deploy key，并且
git config --global core.sshCommand "ssh -o StrictHostKeyChecking=no -i /path/to/key" - 不要依赖
go env -w写入全局配置——CI runner 是临时实例，写进去的配置在下一阶段就丢了；所有配置必须在每个 job 的steps里重复执行
go build 报 invalid version: git ls-remote 的真实原因和解法
这错误表面是 Git 命令失败，实际是 Go 尝试解析一个未加 tag 的 commit 或分支名（比如 v1.2.3-0.20230101120000-abc1234），但鉴权缺失导致 git ls-remote 被拒。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 检查
go.mod里是否引用了类似github.com/xxx/yyy v1.2.3-0.20230101120000-abc1234这种 pseudo-version —— 它需要访问原始 repo 才能验证，不能只靠 proxy 缓存 - 确保
GOPROXY设置为@#@#@#@#@#@#@#@#@#@3（注意逗号后无空格），这样 fallback 到 direct 时才走你配好的 Git 凭据 - 若使用自建 proxy（如 Athens），确认其
GOGET_WORKERS和ATHENS_DISK_CACHE_PATH配置允许私有模块索引，否则即使鉴权正确，proxy 也会返回 404 导致 go 退回到 direct 模式再失败
GitHub Actions 下最简可靠的 go build 步骤模板
不需要插件、不依赖第三方 action，纯 shell 控制流更可控：
- 开头加
echo "$GITHUB_TOKEN" | docker login ghcr.io -u "$GITHUB_ACTOR" --password-stdin（如果用了私有 registry） - 执行
git config --global url."@#@#@#@#@#@#@#@#@#@1 "@#@#@#@#@#@#@#@#@#@2" - 设置
export GOPRIVATE="github.com/your-org/<em>,gitlab.com/your-group/</em>" - 运行
go mod download单独作为 step，失败立刻中断，别让它混在build里掩盖问题 - 构建命令始终带
-mod=readonly，防止意外触发隐式go mod tidy引发二次鉴权
私有模块路径匹配必须精确，GOPRIVATE 里的通配符不支持子域名或嵌套斜杠逻辑，写错一个字符就 fallback 到 proxy，然后 403。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
