Go 项目通过 go.mod 和 go.sum 文件锁定依赖版本以保障构建可重复性，其中 go.mod 声明模块及精确版本，go.sum 记录哈希值验证完整性，二者必须提交至版本控制。
在 Go 项目中稳定依赖版本是保障构建可重复、避免意外更新导致程序出错的关键。Go 模块（Go Modules）从 Go 1.11 引入后，已经原生支持依赖版本管理，结合语义化版本规范，可以实现高效且可靠的依赖锁定。
理解 Go 的语义化版本（SemVer）
Go 模块使用 语义化版本（Semantic Versioning）来标识依赖包的版本。标准格式为：vX.Y.Z，其中：
- X（主版本号）：重大变更，不兼容旧版本
- Y（次版本号）：新增功能，向后兼容
- Z（修订号）：修复 bug，向后兼容
Go 要求模块路径中包含主版本号大于等于 2 时显式声明，例如 github.com/foo/bar/v2。这有助于避免版本冲突和导入混乱。
go.mod 与 go.sum 实现依赖固定
Go 使用两个核心文件来锁定依赖：
立即学习“go语言免费学习笔记（深入）”；
- go.mod：声明项目所依赖的模块及其精确版本
- go.sum：记录每个模块版本的哈希值，用于验证完整性
当你运行 go mod tidy 或 go get 时，Go 会自动更新 go.mod 中的依赖版本，并将校验和写入 go.sum。只要这两个文件提交到版本控制系统，其他开发者就能获得完全一致的依赖环境。
如何确保依赖版本不漂移
要真正“锁定”依赖，需遵循以下实践：
- 启用模块模式：设置
GO111MODULE=on，或在项目根目录下存在go.mod - 明确指定版本：使用
go get example.com/pkg@v1.2.3安装特定版本 - 定期运行
go mod tidy清理未使用依赖并同步版本 - 禁止随意升级：避免在生产项目中执行
go get -u全局升级 - 使用
replace指令（谨慎）：在调试或临时替换依赖时可用，但不应长期保留在正式代码中
最小版本选择（MVS）机制
Go 模块采用 最小版本选择 策略来解析依赖。它不会选择最新版本，而是根据所有依赖项的要求，选择满足条件的最低兼容版本。这种设计提升了可重现性——只要依赖声明不变，构建结果就不变。
例如，你的项目依赖 A@v1.3.0，而 A 依赖 B@v1.1.0，即使 B 已发布 v1.5.0，Go 仍会选择 v1.1.0，除非有其他依赖要求更高版本。
基本上就这些。只要用好 go.mod 和 go.sum，配合语义化版本理解，Golang 的依赖锁定是可靠且透明的。不复杂但容易忽略的是：一定要把这两个文件纳入 Git 提交。否则一切努力白费。
