go mod tidy 会降级版本是因为未显式声明最小版本，它按“能用就行”选最低兼容版，尤其受间接依赖影响；改 go.mod 后需运行 go mod download 或 go build 触发 go.sum 更新。
Go mod tidy 为什么总拉低版本？
因为 go.mod 里没显式声明依赖的最小版本，go mod tidy 默认按“能用就行”原则选最低兼容版——尤其当间接依赖（transitive）有更老版本满足约束时，它就悄悄降级了。
常见现象：go list -m all | grep xxx 显示的版本比你 go get xxx@v1.2.3 指定的还低；CI 构建失败，但本地 go run 没问题——本质是本地缓存或旧 go.sum 干扰了版本决策。
- 执行
go get xxx@v1.2.3后立刻跟go mod tidy，否则新版本可能被回滚 - 检查
require行是否带// indirect标记：带这个的不是你直连依赖，go mod tidy对它的控制力弱 - 想锁死某依赖，直接在
go.mod里写require xxx v1.2.3，再go mod tidy -v看是否被覆盖
go.sum 文件里一堆哈希，改版本号后它不自动更新？
go.sum 不是配置文件，是校验快照——它记录每个模块版本对应的 zip 包哈希值，由 go mod download 或 go build 自动维护。手动改 go.mod 版本号后，go.sum 不会立刻同步，直到真正下载该版本。
典型错误：go.mod 改成 v2.0.0，但没运行任何命令，就直接 git commit，结果别人 go build 时因 go.sum 缺失对应哈希而报错：checksum mismatch。
立即学习“go语言免费学习笔记（深入）”；
- 改完
go.mod后，必须触发一次模块下载：执行go mod download或go build ./... - 如果提示
missing go.sum entry，别手补哈希，运行go mod verify或go mod tidy让它自动生成 -
go.sum中同一模块多个哈希是正常的——不同 major 版本（如v1.5.0和v2.0.0+incompatible）各自独立校验
module path 带 /v2 是什么鬼？和 SemVer 的 major 版本有关吗
有关，而且是 Go 强制要求的：只要 major 版本 ≥ 2，module path 就必须以 /vN 结尾，比如 github.com/user/pkg/v2。这不是可选项，是 Go 模块系统识别不同 major 版本共存的唯一方式。
常见坑：go get github.com/user/pkg@v2.1.0 失败，提示 unknown revision v2.1.0——其实是因为仓库根目录下没有 go.mod 文件，或者 go.mod 里写的还是 module github.com/user/pkg，没改成 module github.com/user/pkg/v2。
- v2+ 的模块必须在自身
go.mod中声明完整路径，包括/v2 - 你的项目要 import 它，也得写
import "github.com/user/pkg/v2"，少一个/v2就是另一个模块 - 别指望
replace能绕过路径规则：用replace github.com/user/pkg => ./pkg时，本地./pkg/go.mod仍需含/v2才匹配
升级依赖时，怎么判断要不要改自己的 module version？
取决于你改的是哪一层：如果你的代码没暴露任何被升级依赖影响的 API，只是内部用了新版本修复 bug，那你的 module version 可以不动；但只要你导出的函数、方法、结构体字段受依赖变更影响（比如返回值类型变了、加了非空字段），就必须升主版本。
最容易忽略的点：Go 没有运行时反射式 ABI 检查，所以编译能过 ≠ 兼容。比如你封装了一个 DoRequest() 函数，底层从 http.Client 切到 resty，哪怕签名不变，行为差异（重试逻辑、超时默认值）也可能让调用方崩溃。
- 检查
go list -f '{{.Deps}}' .输出里有没有新增/删除的依赖模块名，有则大概率要升 minor - 如果依赖升级导致你公开接口的文档注释需要重写（比如 “返回
io.Reader” 改成 “返回bytes.Buffer”），那就是 breaking change，必须升 major - 小版本（patch）升级通常安全，但注意有些库把日志级别调整、panic 改成 Error 也塞进 patch 里——这类要人工扫 CHANGELOG
事情说清了就结束。SemVer 在 Go 里不是靠自觉，是靠 go.mod 路径、go.sum 哈希、go mod tidy 的执行时机三者咬合生效的。漏掉任一环，版本就不可控。