go get -u 默认递归更新整个依赖树而非单个包，Go 1.16+ 下受 go.mod 约束但仍非精准更新；安全升级需用 go get pkg@version 配合 go mod tidy，或使用 -u=patch/minor 控制粒度。
go get -u 默认更新的是整个依赖树，不是单个包
很多人以为 go get -u github.com/some/pkg 只会升级这个包，实际上它会递归更新该包所有依赖（包括间接依赖），甚至可能把 go.mod 里其他无关模块也拉到最新版。这是最常被误解的行为。
- Go 1.16+ 默认启用
GOPROXY和GO111MODULE=on，所以-u操作受go.mod约束，但依然不是“精准更新” - 若项目没用 Go Modules（即无
go.mod），go get -u会直接写入$GOPATH/src，且不锁定版本，风险更高 - 执行后建议立刻运行
go mod tidy，否则可能出现require声明和实际依赖不一致
只更新指定包（含其直接依赖），不碰其他模块
想安全升级 github.com/spf13/cobra 到 v1.8.0，又不想动 golang.org/x/net 或 github.com/go-sql-driver/mysql？得绕过 -u 的默认行为：
- 用
go get github.com/spf13/cobra@v1.8.0（不带-u）——仅升级目标包到指定版本，不升级它的依赖 - 如果还要同步升级它的直接依赖（比如
cobra新版要求spf13/pflag@v1.0.5+），再补一句go get github.com/spf13/pflag@latest - 执行完检查
go.mod：目标包版本是否正确、是否多出了意外的replace或exclude
go get github.com/spf13/cobra@v1.8.0 go mod tidy
go get -u 和 go get -u=patch 的区别很关键
Go 1.16 引入了 -u=patch（或 -u=minor），这是控制更新粒度的核心开关：
-
go get -u=patch github.com/gorilla/mux：只允许升到最新的 patch 版本（如从v1.8.0→v1.8.1，不进v1.9.0） -
go get -u=minor github.com/gorilla/mux：允许 minor 升级（v1.8.x→v1.9.x），但不跨 major（不会到v2.0.0） - 不加
=patch就是默认行为：等价于-u=patch吗？不是——它实际等价于-u=minor，且对间接依赖也生效
更新失败常见报错及应对
遇到 invalid version: unknown revision 或 missing git repo 通常不是网络问题，而是 GOPROXY 或本地缓存干扰：
立即学习“go语言免费学习笔记（深入）”；
- 先清缓存：
go clean -modcache，再重试 - 临时禁用代理验证源站：
GOPROXY=direct go get github.com/xxx/yyy@v1.2.3 - 如果提示
cannot find module providing package，说明该包不在当前 module 的require列表中，需先go get引入，再用@version锁定 - 升级后测试不通过？别急着回退——用
git diff go.sum看哪些校验和变了，再比对go list -m all | grep xxx确认实际加载版本
go list -m -json all 输出里，真要调试依赖冲突，得看这个命令返回的 Replace 和 Indirect 字段，而不是只盯着 go.mod 文件。 
