直接在go.mod中写死完整语义化版本号（如v1.9.3）可锁死版本，因Go模块解析严格按require字面值匹配，不模糊升级；replace用于精确指向伪版本或本地路径，优先级高于require但不宜长期用于生产。

直接在 go.mod 里写死完整语义化版本号，是最可靠、最透明的锁定方式。

为什么改 require 行就能锁死版本

Go Module 的版本解析完全以 go.mod 中 require 行的字面值为准，不搞模糊匹配。比如你写的是 github.com/sirupsen/logrus v1.9（缺 patch 号），Go 就会去找最新符合 v1.9.x 的 tag；但如果你明确写成 v1.9.3，它就只认这个 commit，不会退让。

• 打开 go.mod，找到类似 require github.com/sirupsen/logrus v1.9.0 的行
• 把它改成带完整 patch 号的版本，例如：require github.com/sirupsen/logrus v1.9.3
• 保存后运行 go mod download 确保该版本已缓存
• 再执行 go mod verify 确认校验和与 go.sum 一致

此后所有 go build、go test、go mod tidy 都会坚持用 v1.9.3，除非你再次编辑 go.mod 或运行 go get。

什么时候该用 replace 而不是改 require

当你需要绕过 tag、测试未发布修复、或锁定到某个无 tag 的提交时，replace 比改 require 更精确——它直接跳过版本解析，直指 commit。

Golang Uber Dig

使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等

下载

• 在 go.mod 末尾添加：replace github.com/sirupsen/logrus => github.com/sirupsen/logrus v0.0.0-20230510152458-6b72e3a001f6
• 这个伪版本由时间戳 + commit hash 构成，比 v1.9.3 更细粒度，也更抗篡改
• replace 优先级高于 require，整个模块图都会生效
• 注意：如果远程后来打了同名 tag（如 v1.9.3），Go 仍会校验其 checksum 是否与 go.sum 一致，不一致就报错

别用 replace 做长期生产锁定——它绕过了语义化版本意图，容易让团队成员误判真实依赖状态。

哪些操作会悄悄破坏版本锁定

很多“版本漂移”不是 Go 自动干的，而是人手滑或 CI 流程松导致的。关键是要切断非受控更新路径。

• 永远不要裸跑 go get -u——它会递归升级所有直接+间接依赖到 latest
• 升级单个依赖时，必须显式指定版本：go get github.com/sirupsen/logrus@v1.9.3
• go.sum 必须提交到 Git：它是不可编辑的校验快照，删了会导致后续构建失败
• CI 中建议加检查：go mod tidy -v && git status --porcelain go.mod go.sum | grep -q '.' && exit 1

真正容易被忽略的是：只要 go.sum 里的哈希没变，哪怕远程删了那个 tag，本地构建依然能过；但一旦有人手动运行 go mod tidy 或 go get，又没提交变更，go.sum 就可能被悄悄覆盖，锁定就失效了。

golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！