“checksum mismatch”非篡改铁证，多因本地缓存、代理或手动编辑go.sum导致；应先用go list -m -f '{{.Sum}}'比对哈希，再检查GOSUMDB配置（国内推荐sum.golang.google.cn）、代理及DNS问题。
Go modules校验失败时，GOSUMDB报错“checksum mismatch”怎么快速定位
这不是模块被篡改的铁证，大概率是本地缓存、网络代理或go.sum手动编辑导致的校验不一致。Go在go build或go get时会比对本地go.sum记录的哈希值与GOSUMDB返回的权威哈希，任一环节出错都会触发该错误。
- 先确认是否真被篡改：运行
go list -m -f '{{.Sum}}' example.com/pkg，看输出是否和go.sum里对应行一致；不一致说明本地go.sum被改过或没更新 - 临时绕过校验仅用于调试：设
GOSUMDB=off（⚠️生产环境禁用），或用GOSUMDB=sum.golang.org强制走官方源（避免公司私有代理污染） - 常见干扰源：HTTP代理未正确转发
sum.golang.org的HTTPS请求、DNS污染、~/.cache/go-build残留旧模块zip包
GOSUMDB环境变量设成sum.golang.org还是off或sum.golang.google.cn
中国大陆开发者默认应设为sum.golang.google.cn——这是Go官方为中国大陆镜像的校验服务，响应快且可信。设off等于放弃校验，所有依赖都按本地go.sum执行，一旦有人提交恶意哈希或你误删了某行，Go不会提醒。
-
sum.golang.org在境内直连常超时或502，不是配置错误，是网络可达性问题 -
sum.golang.google.cn与sum.golang.org数据完全同步，由Go团队维护，非第三方镜像 - 企业内网若需自建校验服务，必须部署
sumdb工具并设GOSUMDB=my-sumdb.example.com，不能简单反代
go.sum文件里同一模块出现多行，哪些能删、哪些必须留
go.sum不是日志，是确定性校验凭证。每行格式为module/path v1.2.3 h1:xxx或module/path v1.2.3 go:xxx，前者是Go module checksum，后者是Go source archive checksum。删错会导致后续go mod download失败或校验跳过。
- 可安全删除：同一模块多个
v1.2.3版本中，只保留最新一次go get写入的那行（前提是没被其他模块间接依赖） - 不可删：被
replace或exclude语句影响的模块行——Go仍会校验它们，删了反而触发重新下载+校验失败 - 验证是否冗余：运行
go mod verify，它只检查当前go.mod声明的直接/间接依赖，不涉及已删除但go.sum残留的行
CI/CD流水线里GOSUMDB配置不对，为什么测试通过但上线后崩溃
因为校验发生在go mod download阶段，而很多CI流程跳过这步，直接用本地缓存构建。线上机器首次拉取模块时才触发GOSUMDB校验，此时若配置为off或指向不可达地址，会静默回退到不校验，但模块内容可能已被中间人替换（尤其从非官方源拉取的私有模块）。
立即学习“go语言免费学习笔记（深入）”；
- CI中必须显式执行
go mod download，并确保GOSUMDB与线上环境一致 - 禁止在Dockerfile里用
RUN go get动态拉包——它绕过go.sum锁定，每次构建可能拉到不同commit - 最稳做法：CI打包前跑
go mod verify && go list -m all，任一失败立即中断
校验逻辑藏在cmd/go/internal/modfetch里，不暴露API，没法自己调；依赖它，就得老老实实配对GOSUMDB和go.sum，少一个环节都可能漏掉坏包。
