go模块依赖由go.sum校验和与go.mod版本共同锁定，伪版本（如v0.0.0-20230405102030-abc123def456）精确锁定commit，确保可重现；go.sum强制校验包完整性，不可手动编辑，CI/CD必须提交。
Go 语言从 1.11 起默认启用 go mod，依赖版本锁定靠的是 go.sum 文件 + go.mod 中的明确版本声明，不是“手动锁”，而是构建过程自动保障——只要不执行 go get -u 或 go mod tidy 引入新版本，go build 就始终使用 go.sum 记录的校验和对应的确切 commit 或版本。
为什么 go.mod 里写的是 v1.12.0，但实际可能用的是某个 commit？
Go 模块的版本号只是语义化标签，背后对应的是特定 commit。当模块未打合规 tag（如缺少 v 前缀、非标准格式），或你用 go get github.com/user/repo@commit123 显式指定时，go.mod 会记录类似 github.com/user/repo v0.0.0-20230405102030-abc123def456 的伪版本（pseudo-version）。这种写法本质是“锁定到那个 commit”，比 tag 更精确，也更稳定。
-
go list -m -f '{{.Version}}' github.com/user/repo可查当前解析出的实际版本（含伪版本） - 伪版本中的时间戳来自 commit 的 author date，哈希是 commit id 缩写
- 只要远程仓库该 commit 不被 force-push 覆盖，这个伪版本就始终可重现
go.sum 不是可选文件，删了会导致校验失败
go.sum 存的是每个依赖模块版本（含间接依赖）的 go.mod 文件和 zip 包的 SHA256 校验和。它不是缓存，而是完整性强制检查依据。执行 go build 或 go test 时，Go 工具链会校验下载内容是否与 go.sum 一致；不一致则报错：checksum mismatch。
- 首次
go mod download或go build会自动生成go.sum - 不要手动编辑
go.sum；有变更应由go mod tidy或go mod vendor自动更新 - CI/CD 中必须提交
go.sum，否则不同机器可能拉到被篡改或镜像不同步的包
如何安全升级一个依赖，同时避免连带升级其他模块？
直接 go get -u 会升级所有可及依赖，极易破坏兼容性。精准升级需用 @version 显式指定，并配合 -d（仅下载，不修改主模块代码）和 go mod tidy 清理未用项。
立即学习“go语言免费学习笔记（深入）”；
- 升指定模块到 v1.5.0：
go get github.com/sirupsen/logrus@v1.5.0 - 降级或切到某 commit：
go get github.com/sirupsen/logrus@8a7e6c7 - 升级后运行
go mod tidy，它会：保留显式依赖、移除未 import 的间接依赖、补全缺失的require行、同步更新go.sum - 若升级后编译失败，可用
go mod graph | grep logrus查谁在拉旧版，再针对性处理
真正容易被忽略的是：私有模块（如公司内网 gitlab）若未配置 GOPRIVATE，Go 默认走 proxy.golang.org + checksum.golang.org，会导致无法解析或校验失败；必须提前设环境变量 GOPRIVATE=gitlab.example.com/*，否则 go.sum 校验环节直接中断。