GOSUMDB拦截模块下载是因Go 1.13+默认启用远程校验，若网络不可达、模块未公开或使用私有仓库，会报checksum mismatch或超时；可通过GOSUMDB=off、GOINSECURE或代理sumdb等方式绕过。
为什么 GOSUMDB 会拦截你的模块下载
Go 1.13+ 默认启用模块校验，通过 GOSUMDB（如 sum.golang.org）验证每个模块的哈希值是否与官方记录一致。若网络无法访问该服务（比如国内环境）、模块未发布到公共索引、或你正在使用私有/本地仓库，go get 或 go build 就会报错：verifying github.com/xxx/yyy@v1.2.3: checksum mismatch 或直接超时失败。
禁用校验的三种方式及适用场景
禁用不是“关掉安全”，而是绕过远程校验——适用于离线开发、内网构建、私有模块调试等可信环境。优先级从高到低：
-
临时禁用（推荐调试用）：运行命令时加
-mod=readonly或-mod=vendor不起作用；真正有效的是GOINSECURE+GOSUMDB=off组合 -
项目级禁用：在项目根目录设
go.env文件，但 Go 不自动读取它；应改用go env -w GOSUMDB=off（仅影响当前用户） -
全局禁用（谨慎）：执行
go env -w GOSUMDB=off，此后所有go命令都不校验。若需恢复，运行go env -w GOSUMDB=sum.golang.org
GOSUMDB=off 的副作用和替代方案
完全关闭校验后，Go 不再比对 go.sum 中记录的哈希值与实际下载内容，可能引入被篡改的依赖。更稳妥的做法是：
- 对私有域名跳过校验：设置
GOINSECURE=git.example.com（支持通配符，如*.corp.internal），同时保留GOSUMDB对其他模块的保护 - 使用代理校验服务：启动本地
sumdb镜像，或配置GOSUMDB=direct让 Go 自行计算哈希并写入go.sum（不联网验证，但保留本地一致性检查） - 若只是想跳过首次校验失败，可手动运行
go mod download后编辑go.sum—— 不推荐，易出错
go env -w GOSUMDB=off go env -w GOINSECURE="git.mycompany.com,*.internal"
验证是否生效的最快方法
执行任意模块操作后检查输出是否有校验行为：
立即学习“go语言免费学习笔记（深入）”；
- 运行
go env GOSUMDB，确认输出为off - 执行
go list -m all，若没出现verifying ...日志，说明已跳过 - 故意伪造一个错误哈希：修改
go.sum中某行末尾字符，再运行go build—— 若没报checksum mismatch，即禁用成功
注意：GOSUMDB=off 不影响 go.sum 文件的生成和更新，只是跳过远程比对环节。真正容易被忽略的是：某些 CI 环境（如 GitHub Actions）默认不继承用户 go env 设置，必须显式在 workflow 中写 env: {GOSUMDB: off}。
