| 内容 | 模块路径、版本与两种哈希（模块包与 go.mod） |
|---|---|
| 校验 | go mod verify 检查已下载模块与记录一致 |
| 维护 | go.sum 随依赖变更更新并入库评审 |
校验命令
校验命令
go mod verify
go mod tidy # 整理依赖与 go.sum（变更后需评审）校验数据库（sum.golang.org 等）提供第三方透明日志，GONOSUMDB/GOSUMDB 可调整该机制。
go.sum 校验和机制
go.sum 记录模块内容的哈希：下载内容与记录不一致时构建失败，抵御依赖内容被替换。
易错点
- 冲突时随手删 go.sum：等于放弃内容校验，先弄清来源差异
- 关闭校验（GOFLAGS=-mod=mod 且 GONOSUMCHECK）图方便：供应链风险敞开
数据来源与参考
- Go Modules Reference
- Go 官方文档《Module authentication》