必须配置 goproxy=https://goproxy.cn,direct，否则 go get @version 易卡顿、超时或拉错版本；国内直连 proxy.golang.org 不可用，需确认 go111module=on 且在模块根路径；拉取指定版本必须用 go get @tag，不可手动改 go.mod；go.sum 须受控以保障构建可重现。
必须先配好 GOPROXY，否则 go get @version 很可能卡住、超时或拉到错误版本。
为什么 go get github.com/xxx@v1.2.3 会失败或不生效
国内直连 proxy.golang.org 基本不可用，go get 会卡在“looking up”或报 no matching versions；即使命令执行成功，go.mod 里版本没变，大概率是当前目录不在模块根路径（没 go.mod），或 GO111MODULE=off 被意外关闭。
- 先运行
go env GOPROXY确认输出不是空或direct单独存在 - 检查当前路径下是否有
go.mod；没有就go mod init example.com/myapp - 强制启用模块：
go env -w GO111MODULE=on - 临时测试可加
-v查看真实请求地址：go get -v github.com/sirupsen/logrus@v1.9.3
GOPROXY=https://goproxy.cn,direct 是最稳的配置
这个值不是“推荐”，而是国内生产环境事实标准。它让公共模块走镜像加速，私有模块（如 git.corp/internal）自动 fallback 到直连，避免认证失败或域名解析异常。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
- 永久设置：
go env -w GOPROXY=https://goproxy.cn,direct -
direct必须写在最后，顺序错会导致私有仓库被代理拦截 - 别用
GOPROXY=off或GOPROXY=direct：前者失去缓存和校验，后者完全绕过代理，网络抖动时构建直接崩 - 若用私有 Git，额外加
go env -w GOPRIVATE=git.corp.example.com，防止被代理或校验服务误处理
拉取特定版本只能靠 go get @tag，别手动改 go.mod
直接编辑 go.mod 写 require xxx v1.2.3 看似快，但后续 go mod tidy 或 go build 可能覆盖它，尤其当其他依赖间接引入更高版本时 —— Go 不保证手动写的版本会被尊重。
- 正确做法：
go get github.com/spf13/cobra@v1.8.0（带@是关键） - 支持的格式：
@v1.2.3（语义化标签）、@latest（最新兼容版）、@commit-hash（精确提交）、@branch（不推荐，不稳定） - 降级要加
-u=patch或先删go.sum再跑：go get -u=patch github.com/xxx@v1.2.3 - 验证是否真用了该版本：
go list -m github.com/spf13/cobra，不是看go.mod里的文字
go.sum 不锁版本，只校验；CI 必须检查它是否变更
go.sum 是每个模块版本对应的哈希快照，用于防篡改。它不控制间接依赖版本 —— 那是 go.mod 的 require 和 exclude 干的事。如果 CI 中 go.sum 意外变化，说明某依赖悄悄升级了子依赖，构建就不可重现。
- CI 脚本里加一句：
git diff --quiet go.sum || (echo "go.sum changed! Check new dependencies" && exit 1) - 删掉
go.sum后go build会重生成，但前提是go.mod所有require版本已固定且可解析 - 别关
GOSUMDB：设GOSUMDB=off能绕过校验，但等于放弃完整性保护，线上出问题很难溯源
真正容易被忽略的是：代理配置和版本拉取是两件事，但它们耦合极深。没配对 GOPROXY，@version 就是空中楼阁；配对了却手动改 go.mod，又把版本控制权交还给不确定性。稳住代理、信 go get @tag、盯紧 go.sum 变更，三者缺一不可。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
