Go项目依赖来源取决于模块引入方式及环境配置，核心命令是go list -m：all显示全部模块及其来源（含replace/indirect标记），-json输出含Dir/Replace/Indirect字段，结合GOPROXY/GOPRIVATE决定实际下载地址。
判断 Go 项目中依赖的来源，核心是看模块（module）是从哪里引入的——是直接在 go.mod 中 require 的，还是被其他模块间接拉进来的；是来自官方 proxy（如 proxy.golang.org），还是私有仓库（如 GitLab、GitHub Enterprise），或是本地 replace 路径。而 go list -m 是最直接、最可靠的命令行工具，能清晰展示模块来源、版本、替换关系等关键信息。
查看所有模块及其来源（含间接依赖）
运行以下命令可列出当前 module 下所有已解析的模块（包括直接和间接依赖）：
-
go list -m all：显示全部模块，每行格式为路径 版本（来源），括号里会注明是否被 replace、indirect 标记、或来自本地文件路径 - 若某行末尾有
// indirect，说明该模块未被当前 module 直接 require，而是由某个依赖引入的 - 若显示类似
example.com/foo v1.2.0 => ../foo，说明用了replace指向本地目录；若为=> git.example.com/team/bar v1.0.0，则是 replace 到了远程 Git 地址
识别依赖的真实获取地址（proxy / private repo / local）
模块路径本身不等于下载地址，Go 会根据 GOPROXY、GOPRIVATE 和模块路径规则决定从哪拉取。但 go list -m 结合 -json 可暴露细节：
-
go list -m -json all输出 JSON，其中Dir字段是本地缓存路径，Replace字段非空表示被替换，Indirect字段为 true 表示间接引入 - 真正决定“来源”的是
go.mod中的require行 + 环境变量：GOPRIVATE=git.internal.company.com会让匹配该前缀的模块跳过 proxy，直连 Git 服务器 - 如果模块路径是
github.com/user/repo且没被 replace 或 GOPRIVATE 排除，默认走proxy.golang.org（或你配置的其他 proxy）
快速定位某个依赖是否被 replace 或本地覆盖
当怀疑某个依赖行为异常（比如改了代码却没生效），优先检查它是否被覆盖：
立即学习“go语言免费学习笔记（深入）”；
-
go list -m github.com/sirupsen/logrus：只查单个模块，输出简洁，含版本和 replace 信息 -
go list -m -f '{{.Replace}}' github.com/sirupsen/logrus：用模板只打印 Replace 字段，返回 - 配合
grep快速扫所有 replace：go list -m -json all | jq -r 'select(.Replace != null) | "\(.Path) => \(.Replace.Path // .Replace.Dir)"'
验证依赖是否实际参与构建（非冗余）
有些模块出现在 go list -m all 中，但可能根本没被 import，属于“死依赖”。这时需结合 go list -deps：
-
go list -f '{{.ImportPath}}' ./...列出所有被 import 的包路径 -
go list -m -f '{{.Path}}' all | xargs -I{} sh -c 'echo {}; go list -f \"{{if not .Indirect}}{{.Path}}{{end}}\" {} 2>/dev/null | grep -q \"^{}$\" && echo \" ✓ used\" || echo \" ⚠ unused\"'（较重，仅调试用） - 更实用的是：删掉
go.mod中疑似冗余的require行，再运行go mod tidy，如果自动加回，说明仍被需要
基本上就这些。用好 go list -m 配合 -json 和格式化输出，不用翻日志、不猜路径，就能把依赖来源、替换关系、引入方式看得明明白白。
