go get package@version 是最可靠的方式，它自动更新 go.mod 和 go.sum，支持多种版本格式，具备原子性，且官方推荐；手动修改 go.mod 易引发 mvs 问题，需配合 go mod tidy 使用。
直接用 go get package@version 就行，比如 go get github.com/gin-gonic/gin@v1.9.1，它会立刻更新 go.mod 和 go.sum，不需要手动改文件或额外命令。
go get @version 是最可靠的方式
这是 Go 官方推荐、也是实践中最不容易出错的操作路径。它不是“下载后手动写版本”，而是由 Go 工具链自动解析、校验、写入并下载——整个过程原子性完成。
- 支持多种格式：
@v1.2.3（tag）、@latest（慎用）、@master（不推荐）、@abc123def（commit hash）、@v0.0.0-20230405102030-abc123def456（伪版本） - 执行后，
go.mod中对应require行会被精确覆盖，go.sum自动追加/更新校验和 - 如果依赖已存在且版本更高，
go get默认不会降级——此时必须显式指定旧版，例如go get github.com/sirupsen/logrus@v1.8.1 - 加
-d参数可跳过编译检查，只下载并更新模块信息：go get -d github.com/pkg/errors@v0.9.1
别手动编辑 go.mod 的 require 行
直接在 go.mod 里把 v1.2.3 改成 v1.2.4 看似简单，但后续运行 go mod tidy 或 go build 时，Go 可能按最小版本选择（MVS）规则把它又“升”回去——尤其是当其他依赖间接引入了更高 patch 版本时。
-
go.mod中的版本号只是“首选提示”，不是硬锁定；真正锁定靠的是go.sum+go get触发的完整校验流程 - 手动改完不运行
go mod tidy，会导致本地构建成功但 CI 失败（因为go.sum缺失对应条目） - 如果非要手改，改完必须立刻跑
go mod tidy，且要确认输出里没有 “upgrading” 或 “downgrading” 提示
go list -m all 和 go list -m -versions 是调试刚需
你看到的 go.mod 里的版本，未必是实际参与构建的那个。很多问题都源于“以为锁住了，其实被间接依赖带偏了”。
- 查当前解析出的真实版本：
go list -m all | grep logrus—— 输出可能是github.com/sirupsen/logrus v1.9.3，哪怕你go.mod写的是v1.9.0 - 查某个包所有可用 tag：
go list -m -versions github.com/spf13/viper—— 注意有些仓库没打规范 tag（缺v前缀），go list就查不到 - 查谁在拉某个包：
go mod graph | grep 'logrus'—— 能快速定位是哪个间接依赖悄悄升级了它
最容易被忽略的是：私有模块若没配 GOPRIVATE，Go 会强制走公共代理，导致 @commit 或 @branch 解析失败；而 go.sum 文件一旦被删或未提交，不同机器构建就可能拉到不同代码——这不是版本没锁住，是校验链断了。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
