go.mod 中 require 版本必须严格遵循语义化版本规范，如 v1.9.0 或带 commit 的伪版本；禁用 v1、v1.9 等不完整写法，否则报错 malformed semver。
go.mod 里 require 的版本号到底该写什么
不是随便填个 v1.2.3 就行，Go 会严格按语义化版本规则解析并做兼容性判断。写错会导致 go build 找不到模块、升级失败，甚至静默降级到意外版本。
常见错误现象：go build 报 missing go.sum entry，或 go get 后实际拉取的版本和 go.mod 里写的不一致。
-
require github.com/sirupsen/logrus v1.9.0：明确指定精确版本，最稳妥，适合生产环境锁定 -
require github.com/sirupsen/logrus v1.9.0-0.20220517155328-64a0f0b6b44c：带 commit hash 的伪版本，用于引用尚未打 tag 的提交（比如修复了某个 bug 但还没发版） - 避免写
v1或v1.9这类不完整版本——Go 不识别这种“通配符”，会报错invalid version: malformed semver - 如果依赖本身没打符合语义化规范的 tag（比如只有
master或latest），go mod会自动生成伪版本，但下次go get -u可能跳到另一个 commit，行为不可控
为什么 go.sum 文件不能删，也不能手改
go.sum 是模块校验的“指纹库”，不是缓存，删了会导致后续构建无法验证依赖完整性，触发 verify failed 错误；手改则极易破坏哈希值与模块内容的对应关系。
使用场景：CI 构建、多人协作、审计合规——都依赖 go.sum 提供可复现的依赖快照。
立即学习“go语言免费学习笔记（深入）”；
- 每次
go mod download或go build首次拉取新模块时，Go 自动追加对应条目到go.sum - 如果模块源被篡改（比如 GitHub 上的 tag 被覆盖重推），
go build会拒绝加载，并提示checksum mismatch - 不要把
go.sum设为 ignore，它和go.mod一样必须提交进 Git - 若需更新校验和（例如切换了代理源导致哈希不同），运行
go mod download -dirty或直接go mod tidy重生成
go mod tidy 和 go get 的行为差异在哪
go mod tidy 是“声明驱动”的清理工具，只根据代码中实际 import 的包调整 go.mod；go get 是“操作驱动”的获取命令，会主动修改依赖版本，容易引入未使用的间接依赖。
性能影响：频繁用 go get 升级可能拉入大量新 transitive 依赖，拖慢 go build 和 go list；而 tidy 只处理必要项，更轻量。
- 新增一个
import "github.com/google/uuid"后，运行go mod tidy会自动补全require并清理无用项 -
go get github.com/google/uuid@v1.3.0会强制升级（或降级）该模块，即使代码里没用到 v1.3.0 的新特性 - 执行
go get -u会升级所有直接依赖及其最新兼容子版本，风险高——尤其当某依赖的 v2+ 版本引入了 breaking change 但没改 module path 时 - 想安全升级？先
go list -u -m all查哪些可升，再针对性go get path@version，最后go mod tidy
本地开发时怎么临时替换一个依赖模块
不是改 go.mod 里的版本号，而是用 replace 指令把远程路径映射到本地文件系统路径。这是调试 fork、验证 patch、绕过私有仓库权限限制的唯一可靠方式。
容易踩的坑：路径必须是绝对路径或相对于 go.mod 的相对路径；且 replace 不影响 go.sum 的校验逻辑——Go 仍会校验原模块的哈希，只是下载时走本地。
- 在
go.mod末尾加一行：replace github.com/sirupsen/logrus => ./vendor/logrus（相对路径） - 或指向他人 fork：
replace github.com/sirupsen/logrus => github.com/myfork/logrus v1.9.0（注意这里仍要带合法版本） -
replace只在当前 module 生效，不会传递给下游依赖；子模块若也 import 同一包，需各自声明 - 上线前务必删掉
replace行，否则 CI 构建会失败（本地路径不存在）
语义化版本不是摆设，go.mod 里的每个版本字符串都在参与 Go 工具链的自动决策。最容易被忽略的是：当你用 go get 升级时，它默认只保证 minor 兼容，但不会检查你是否真的用了那个版本的新 API——结果就是编译通过，运行时报 undefined: xxx。