如何高效管理golang项目中的包依赖和版本控制？

本文共计806个文字，预计阅读时间需要4分钟。

相关专题：

go 1.16 起，go mod 是唯一被官方支持且默认启用的包管理方式；gopath 模式和 go get（无 -m）直接安装到 $gopath/bin 的行为已被弃用，容易导致命令找不到或版本混乱。

go.mod 和 go.sum 是什么，为什么必须提交

go.mod 记录直接依赖及其版本，go.sum 则完整保存所有依赖（含间接依赖）的校验和。两者共同构成可重现构建的基础。

• go.mod 必须由命令生成（如 go get、go mod tidy），禁止手写或手动修改版本号——下一次 go mod tidy 会覆盖它
• 忽略提交 go.sum 会导致 CI 构建失败，报错 checksum mismatch
• 文件中不能加注释或空行，go mod 命令会自动格式化并清空它们，造成无意义 diff

如何正确添加和锁定一个依赖版本

直接写 go get github.com/sirupsen/logrus 并不等于“装上 v1.9.3”，它默认拉取最新 tagged 版本（若无 tag，则 fallback 到 latest commit），这个 commit 不稳定，生产环境不应使用。