Go模块验证依赖go.sum文件、sum.golang.org校验和数据库及go mod verify等命令，确保模块未被篡改、来源可信、环境可复现；go.sum记录模块zip包与go.mod的确定性哈希，自动校验并报错不一致；go mod verify仅本地比对，GOSUMDB启用透明日志验证，常见失败源于手动修改vendor、go.sum未提交或代理缓存污染。
Go 模块的验证和完整性检查主要依靠 go mod verify 和 go mod download -v 等命令，配合校验和数据库（sum.golang.org）与本地 go.sum 文件共同完成。核心目标是确保你依赖的每个模块版本未被篡改、来源可信、且在不同环境中可复现。
理解 go.sum 文件的作用
go.sum 是 Go 模块的校验和记录文件，每行包含模块路径、版本号和两个哈希值（分别对应模块 zip 包和 go.mod 文件）。它不是签名，而是确定性哈希，用于检测模块内容是否被意外或恶意修改。
- 每次运行
go build、go test或go list时，Go 工具链会自动比对已下载模块的哈希与go.sum中记录是否一致 - 若不一致，会报错：
verifying github.com/xxx/yyy@v1.2.3: checksum mismatch - 手动更新
go.sum可通过go mod tidy（添加/删除依赖后）或go mod download -v（重新下载并写入校验和）
执行模块完整性验证
使用 go mod verify 命令可主动检查当前 go.sum 中所有记录是否与本地缓存模块实际内容匹配：
- 运行
go mod verify：输出all modules verified表示全部通过；否则列出校验失败的模块 - 该命令不联网，只做本地比对，适合 CI 流程中快速确认环境一致性
- 注意：它不会自动修复问题，仅报告。修复需人工介入，例如删掉
$GOPATH/pkg/mod/cache/download对应模块缓存，再运行go mod download
启用校验和透明日志验证（推荐）
Go 默认从 sum.golang.org 获取并验证模块校验和，该服务由 Google 运营，提供不可篡改的公开日志（类似 Certificate Transparency）。你可以显式启用并增强其行为：
- 设置环境变量：
GOSUMDB=sum.golang.org（默认值，无需修改） - 如需离线或私有环境，可设为
GOSUMDB=off（跳过远程校验，不推荐）或自建校验和数据库（如sum.golang.google.cn在国内可用） - 首次拉取新模块时，Go 会向
sum.golang.org查询其哈希，并记录到go.sum；后续构建均基于此本地记录校验
排查常见验证失败场景
校验失败通常不是 Go 工具问题，而是环境或操作引入了不一致：
-
手动修改了 vendor 目录或本地模块文件：Go 不会重新计算哈希，导致
go.sum过期 → 应避免直接编辑 vendor，用go mod vendor生成 -
多人协作时
go.sum未提交或被忽略 → 确保go.sum跟随代码一起提交到 Git -
代理或镜像源返回了被篡改/缓存错误的模块 zip → 检查
GOPROXY设置（如https://goproxy.cn），必要时临时切回direct并清理缓存 -
模块作者重写了 tag（极不推荐） → Go 会拒绝加载，提示
incompatible version或校验失败，此时应联系作者或锁定更稳定的 commit
