go mod tidy 不会升级模块版本，只收敛依赖：删除未使用、补充缺失、拉取 go.mod 或 go.sum 中声明的版本；升级需显式执行 go get。
go mod tidy 不会自动升级模块版本，它只做依赖收敛：删掉未使用的、补上缺失的、拉取当前 go.sum 记录或 go.mod 中声明的版本——哪怕那些版本早已过时。
什么时候该用 go mod tidy
你改了代码，新增了 import "github.com/sirupsen/logrus" 但没手动加依赖？或者删掉了某段引用第三方包的代码，想清理掉残留的 require 行？这时运行 go mod tidy 才有意义。
- 它不会升级已有依赖的版本，哪怕
github.com/sirupsen/logrus v1.9.0已发布，而你go.mod里写的是v1.8.1，tidy也纹丝不动 - 它默认不触碰
replace和exclude指令，除非你加-compat=1.17这类参数（极少需要） - 如果项目里有
//go:embed或//go:generate，tidy可能漏判依赖，得配合go list -deps -f '{{.ImportPath}}' .手动核对
如何真正升级一个模块版本
升级必须显式触发，Go 没有类似 npm update 的全自动语义化升级命令。最稳妥的方式是用 go get 加具体版本号：
go get github.com/sirupsen/logrus@v1.9.0
也可以省略版本号，让 Go 自动选最新 tagged 版本：
立即学习“go语言免费学习笔记（深入）”；
go get github.com/sirupsen/logrus
但要注意：
- 不带
@时，Go 优先选满足当前主版本兼容性的最新版（如你原来用v1.8.1，它不会升到v2.0.0，因为v2需要路径含/v2） - 如果想强制升级到主版本不兼容的新版（比如从
v1.9.0升到v2.0.0），必须写全路径：go get github.com/sirupsen/logrus/v2@v2.0.0 -
go get后建议立刻跟一次go mod tidy，确保go.sum更新且无冗余项
批量升级所有依赖到最新兼容版
没有官方“一键全升”命令，但可以用 go list + xargs 组合实现（仅限 Unix-like 系统）：
go list -m -u all | awk '{if (NF==3) print $1 "@" $3}' | xargs -r go get
这条命令的含义是：
-
go list -m -u all列出所有可升级的模块（含当前版本与最新版） -
awk提取出模块路径和新版号，拼成pkg@version格式 -
xargs go get批量执行升级
⚠️ 风险提示：批量升级极易引发编译失败或运行时行为变更。生产项目务必在 CI 中验证，且建议逐个升级、逐个测试。
为什么 go.mod 里的 indirect 依赖总在变
indirect 标记表示该模块不是你直接 import 的，而是被其他依赖“带进来”的。它的版本变动通常源于：
- 你升级了某个直接依赖，它内部换了新版本的子依赖
- 你运行了
go get，而目标模块的go.mod里声明了不同版本的间接依赖 - 你本地
GO111MODULE=on但 GOPROXY 配置不一致，导致不同机器解析出不同版本
不要手动删 indirect 行——go mod tidy 会按需维护它。若想锁定某 indirect 包的版本，可显式 go get 它，它就会从 indirect 变成直接 require。
模块版本管理真正的复杂点不在命令本身，而在理解「谁声明了版本」「谁实际使用了它」「升级后是否破坏隐式接口」。很多人卡在 go mod tidy 没反应，其实是误以为它该升级——它只整理，不决策。
