go mod verify 用于校验本地缓存模块与go.sum中记录的哈希值是否一致，不下载不修改，仅比对；输出“all modules verified”表示全部通过，否则指出具体模块及h1:/h12:校验和不匹配。
go mod verify 能直接校验所有依赖的哈希完整性
它不下载、不修改，只比对本地缓存模块内容和 go.sum 中记录的哈希值。输出 all modules verified 表示全部通过；若失败，会明确指出哪个模块路径、哪个版本的 h1: 或 h12: 校验和不匹配。
校验失败时别急着删 go.sum，先看三处关键位置
常见错误不是“没校验”，而是校验环境本身出了问题：
-
go.sum被手动编辑或未提交到 Git —— 它必须随代码一起版本化，否则 CI 和队友无法复现一致结果 - 本地模块缓存损坏：
go clean -modcache清掉后重跑go mod download && go mod verify - 代理源切换（比如从官方 proxy 切到私有 proxy）导致下载的 zip 包内容不同，
go.sum里记录的是旧源的哈希，自然不匹配
go.sum 里的哈希不是文件级 SHA256，而是模块级双层哈希
每个模块条目实际包含两行：
Alibabacloud Sdk Client Initialization For Golang
下载
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
-
h1:开头：模块 zip 包的 SHA256 校验和（即你下载解压前那个 .zip 的哈希） -
h12:开头（Go 1.21+）：模块根目录下所有文件（不含.git等元数据）按路径排序后拼接内容的 SHA256，再经一次格式化字符串 + 二次哈希（见sum.golang.org规则）
这意味着哪怕只是改了一个空格在 go.mod 里，h12: 行也会变 —— 它防的不是传输篡改，是本地解压后被恶意注入代码。
CI/CD 中必须把 go mod verify 当作构建前置检查
它轻量、秒级完成，且能暴露供应链风险：
- 不要只在本地跑，CI 流水线中加在
go build前，失败即中断 - 搭配
go mod download使用，确保校验的是刚拉下来的干净副本，而非可能残留的旧缓存 - 如果用私有仓库，记得配置
GOPRIVATE=*.yourcompany.com，否则 Go 会跳过校验（默认只信 public proxy）
最常被忽略的是：校验通过 ≠ 依赖安全。它只保证“你拿到的和 go.sum 记的完全一样”，但不保证那个“一样”的内容本身没漏洞 —— 所以 go.sum 必须来自可信来源（如主分支合并前的 PR 检查），不能靠开发机临时生成后直接提交。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
