老系统加新功能时go.mod该动但须谨慎：先确认模块模式与go版本，清理vendor后用go111module=on初始化；升级间接依赖应查清引入源并锁定最小修复版本，禁用go get -u；私有库需配goproxy或replace到真实tag；go.sum必须提交且ci仅校验不生成。
老系统加新功能时，go.mod 该不该动
该动，但不能乱动。老系统往往没开 modules 或依赖混杂，强行 go mod init 后直接 go mod tidy 很可能拉出一堆不兼容版本，导致编译失败或运行时 panic。
稳妥做法是先确认当前 Go 版本（go version）和项目是否已在模块模式下（检查根目录有无 go.mod）。若没有，先设 GO111MODULE=on 再执行 go mod init example.com/legacy——模块路径不用真实可访问，但要能区分于其他项目，避免后续 replace 冲突。
- 已有
vendor/目录？先删掉，否则go build可能仍走 vendor 而非 modules，行为不一致 - 旧代码用
_ "github.com/lib/pq"这类匿名导入？确保对应包在go.mod中存在，否则go mod tidy会删掉它，导致 driver 注册失效 - 如果
go list -m all报错“no required module provides package”，说明某些包未被任何 import 触达，go mod tidy会剔除它们——但你可能需要手动go get补上
如何安全升级一个有风险的间接依赖
老系统常因某个间接依赖（比如 golang.org/x/net）爆出 CVE，但直接 go get golang.org/x/net@latest 可能破坏上游依赖（如 grpc-go 内部强绑定某子版本）。
正确做法是只锁定该间接依赖的最小修复版本，不碰直接依赖：
- 查清谁引入了它：
go mod graph | grep golang.org/x/net - 确认安全版本（如
v0.25.0），执行go get golang.org/x/net@v0.25.0 - 运行
go mod tidy——它会保留其他依赖的原有约束，仅更新该间接项并写入go.sum - 切勿用
go get -u，它会递归升级所有依赖，大概率引入破坏性变更
若升级后编译失败，别急着回退；先看错误是否来自类型不匹配（如函数签名变更），再决定是降级、加 replace，还是补适配层。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
私有库或 fork 依赖怎么稳定接入
老系统对接内部中间件或定制化 SDK 时，常遇到无法从公网 proxy 拉取、或需打 patch 的情况。硬编码 replace 到本地路径（如 ./fixes/mylib）看似方便，但 CI 构建会失败——因为 CI 机器没那个目录。
可靠方案分两步：
- 对私有 Git 仓库：配置
GOPROXY支持私有代理，或在go.mod中写replace github.com/company/lib => git.example.com/company/lib v1.2.0，版本号必须对应真实 tag - 对 fork 修复：打完 patch 后推 tag（格式严格为
v1.2.3-fix-202608），再用replace指向该 tag，而非 commit hash —— 否则go.sum校验会失败 - 所有
replace行必须紧挨require块，且不能跨模块生效；若多个模块都要替换同一依赖，得在每个模块的go.mod里单独写
CI 流程里最容易忽略的 go.sum 校验点
go.sum 不是可选文件，它是依赖完整性的唯一凭证。老系统迁移到 CI 时，常见错误是让构建脚本执行 go mod download 后再提交生成的 go.sum。
这会导致本地 go build 失败——因为开发者本地的 go.sum 是由 go mod tidy 生成的，而 CI 下载的模块哈希可能不同（尤其当 GOPROXY 配置不一致时）。
- CI 中只做校验，不做生成：运行
go mod verify，失败即中断构建 -
go.sum必须随go.mod一起提交，且禁止.gitignore忽略它 - 若团队多人协作，确保所有人用相同 Go 版本（至少小版本一致），否则
go.sum行数和哈希值可能不同
真正降低维护成本的不是“少改依赖”，而是让每次依赖变更都可追溯、可复现、可验证——go.mod 和 go.sum 就是这套机制的锚点，绕不开，也省不得。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
