Go模块通过go.mod和go.sum文件管理依赖，使用go get指定版本或@latest更新，结合go mod tidy维护依赖整洁；生产环境中应锁定具体版本、启用GOPROXY、可选vendor目录并定期审计漏洞，确保依赖稳定与安全。
Go 模块（Go Modules）是 Go 语言官方的依赖管理机制，自 Go 1.11 引入以来已成为标准。在实际开发中，合理控制模块版本更新与锁定依赖版本至关重要，既能保证项目稳定性，又能及时获取安全修复和功能更新。
理解 go.mod 和 go.sum 文件作用
每个 Go 模块项目都包含两个核心文件：go.mod 和 go.sum。
go.mod 记录了项目的模块路径、Go 版本以及所有直接或间接依赖的模块及其版本号。它还支持通过 replace、exclude 等指令精细控制依赖行为。
go.sum 则记录了每个模块版本的哈希值，用于验证下载的依赖是否被篡改，确保依赖完整性。每次拉取新版本时，go 命令会自动更新该文件。
立即学习“go语言免费学习笔记（深入）”；
如何更新模块版本
更新依赖模块有多种方式，可根据具体需求选择：
- go get 指定版本：例如 go get example.com/pkg@v1.5.0 可将该依赖升级到 v1.5.0。
- 更新到最新稳定版：运行 go get example.com/pkg@latest，Go 会查询并使用最新的语义化版本（排除预发布版本）。
- 批量更新所有依赖：执行 go get -u ./...，会将所有导入的依赖更新到最新兼容版本，但可能引入不兼容变更，需谨慎使用。
- 仅同步 go.mod 中声明的版本：使用 go mod tidy 可移除未使用的依赖，并补全缺失的 indirect 依赖，保持依赖树整洁。
锁定依赖版本的最佳实践
生产环境应尽可能避免意外的版本变动，因此版本锁定非常关键。
- 明确指定版本号：在 go.mod 中应使用具体版本（如 v1.2.3），而非 latest 或 commit hash，便于审查和复现构建。
- 启用 GOPROXY 提高稳定性：设置 GOPROXY=https://proxy.golang.org,direct 可加速模块下载并缓存版本信息，防止源站不可用影响构建。
- 使用 vendor 目录（可选）：运行 go mod vendor 将所有依赖复制到本地 vendor 文件夹，实现完全离线构建。适用于对依赖隔离要求高的场景。
- 定期审计依赖安全：使用 govulncheck（来自 golang.org/x/vuln）检查项目是否存在已知漏洞。
基本上就这些。只要管好 go.mod，配合合理的更新策略和版本约束，Go 项目的依赖就能既稳定又可控。
