go list -m -u 是最轻量可靠的模块升级发现手段，只读取 go.mod 并比对 proxy 版本，不修改文件、不触发下载；默认仅检查直接依赖，加 all 参数可覆盖间接依赖但耗时增加；支持 -f 和 -json 格式化输出；对 +incompatible 版本结果不准，需人工查 release 或用 go list -m -versions 辅助确认；私有模块需配置 goprivate，replace 和 exclude 条目会被完全跳过；go get -u 升级前须绕过 -mod=readonly；自动化脚本只负责列出候选版本，升级决策须人工判断。
用 go list -m -u 扫描可升级模块最轻量可靠
它不修改 go.mod，也不触发下载，只读取当前 go.mod 中声明的依赖范围，比对 proxy 上最新可用版本。这是所有自动化脚本的第一步，也是唯一推荐的“发现”手段。
常见错误是直接跑 go get -u 试图边查边升——这会跳过间接依赖、忽略 replace、还可能因网络或权限失败导致状态混乱。
-
go list -m -u默认只检查直接依赖（require中无// indirect标注的） - 加
all参数（go list -m -u all）能覆盖全部间接依赖，但耗时明显增加，CI 中慎用；私有模块若未配GOPRIVATE，会报unrecognized import path - 用
-f '{{.Path}}: {{.Version}} → {{.Latest}}'可格式化输出，一眼看出哪些包卡在旧版 - 加
-json输出结构化数据，适合后续用jq过滤，例如只挑"Latest": "v2.0.0"且"Version" != "Latest"的项
注意 +incompatible 版本的扫描结果不准
如果 go.mod 里写的是 github.com/sirupsen/logrus v1.8.0+incompatible，go list -m -u 返回的 .Latest 可能为空或错乱。因为 +incompatible 表示该模块未遵循语义化版本，proxy 不保证提供完整历史版本列表。
这类模块的真实更新状态，得靠人工确认：查其 GitHub release 页面，或用 go list -m -versions github.com/sirupsen/logrus 看实际可用版本。
- 不是 bug，是设计使然——Go 模块工具链对非语义化版本不做强保证
- 项目中应尽量避免引入
+incompatible依赖；若已存在，建议升级到带vX.Y.Z正式 tag 的版本后再纳入自动化流程 -
go list -m -versions返回的是 raw 列表，不含兼容性判断，需结合go get实际尝试才能验证是否真能升
脚本中调用 go get 升级前必须绕过 -mod=readonly
Go 1.17+ 默认启用 -mod=readonly，一旦 GOFLAGS 里含该参数，任何 go get 都会失败并报错：go: updates to go.mod disabled by -mod=readonly。这不是权限问题，是工具链主动拒绝写入。
自动化脚本里不能假设环境干净，必须显式处理：
- 临时清除：运行前加
GOFLAGS="" go get ... - 或更稳妥地，在命令前加
go env -w GOFLAGS=""（注意这会改全局配置，CI 中需配套还原） - 升级单个包用
go get example.com/pkg@latest；批量升级直接依赖用go get -u ./；全量（含间接）用go get -u all（仅 Go 1.16+ module-aware 模式） -
go get -u不会降级——如果go.sum里已有更高版哈希，而go.mod锁着旧版，它也不会回退
私有模块和 replace 条目会被 go list -m -u 和 go get -u 完全跳过
只要 go.mod 里有 replace github.com/foo/bar => ./local/bar 或 exclude github.com/baz/qux v1.2.3，这两个命令就当它们不存在。不会检查本地路径是否更新，也不会提示你 “这个被 replace 的模块其实有新 release”。
这是有意为之的设计：replace 是强覆盖，表示你明确放弃上游版本控制权。自动化脚本无法替代人工判断这类模块是否该同步。
- 若想让私有模块参与自动扫描，必须先确保其域名已加入
GOPRIVATE（如export GOPRIVATE="git.internal.company/*"） - replace 指向本地路径的模块，只能靠
git pull+go mod tidy组合手动更新 - CI 中若发现某关键模块始终不进扫描结果，第一反应应是检查它是否被
replace或exclude了
go list -m -u 只回答“有没有”，不回答“能不能”。间接依赖的兼容性、+incompatible 模块的语义断裂、replace 后的本地定制逻辑，这些都得靠人来拍板。脚本只负责把候选名单列清楚，别让它越界做决定。golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
