一、go.mod
1、早期 GOPATH 的局限
在 Go 1.5 之前，Go 语言默认依赖管理是基于GOPATH环境变量。这种方式在项目简单、依赖较少时勉强够用，但随着项目规模增大和依赖关系复杂，问题逐渐凸显。
版本隔离问题：所有项目的依赖都放在GOPATH下，当不同项目依赖同一个库的不同版本时，很难进行版本隔离。这可能导致版本冲突，使得一个项目在更新某个依赖库后，其他依赖该库的项目也可能受到影响。
2、Go mod 的版本管理优势
Go mod 通过在项目目录下创建go.mod和go.sum文件，精确记录项目所依赖的模块及其版本。go.mod文件类似于项目的依赖清单，它明确指定了每个依赖的模块路径、版本号（如require github.com/gin - gonic/gin v1.7.4）。go.sum文件则包含了每个依赖模块的版本哈希值，用于确保下载的依赖模块内容的完整性和一致性。这样，每个项目都可以独立管理自己的依赖版本，避免了不同项目之间的版本冲突。
3、可重现构建
可重现构建的重要性：在软件开发过程中，能够重现构建是非常重要的。没有依赖版本的确定性，在不同时间或者不同环境下构建项目可能会得到不同的结果。例如，由于依赖库的更新或者下载源的变化，可能导致构建出的软件出现意外的行为或者错误。
Go mod 的解决方案：Go mod 通过记录精确的依赖版本和哈希值，保证了在相同的go.mod和go.sum文件下，无论何时何地构建项目，都能得到相同的依赖模块版本。这使得构建过程更加可预测和可靠，方便团队协作和持续集成 / 持续部署（CI/CD）流程。即使某个依赖库发布了新的版本，只要项目的go.mod文件没有更新，构建过程就不会受到影响。
4、依赖下载和存储
（1）、集中式存储与本地缓存
Go mod 改变了依赖的下载和存储方式。之前，依赖库通常从集中式的代码仓库（如 GitHub 等）下载，当网络不稳定或者仓库出现问题时，可能会影响依赖的下载。Go mod 会将下载的依赖模块缓存到本地的模块缓存目录（通常是$GOPATH/pkg/mod），下次需要相同模块时可以直接从本地缓存获取，提高了依赖下载的效率，减少了对网络的依赖。
（2）、代理服务器支持
Go mod 支持使用代理服务器来下载依赖。这对于处于网络限制环境或者需要加速依赖下载的场景非常有用。可以通过配置GOPROXY环境变量来指定代理服务器，例如GOPROXY=https://goproxy.cn（这是一个国内常用的 Go 代理服务器），使得依赖模块的下载更加灵活和高效。
二、go.sum
1、概述
go.sum文件在 Go 模块管理中起着至关重要的作用，它主要用于确保依赖模块的完整性和一致性。当使用go mod进行依赖管理时，go.sum文件记录了每个直接依赖和间接依赖模块的版本哈希值。这些哈希值是根据特定的哈希算法（通常是 SHA-256）计算得出的，用于验证下载的模块内容是否与预期一致。
例如，假设你的项目依赖了github.com/gin-gonic/gin模块，在go.sum文件中可能会有类似这样的一行内容：github.com/gin-gonic/gin v1.7.4 h1:abcdefghijklmnopqrstuvwxyz1234567890=/ipfs/QmXoypizjW3WknFiJnKLwHCnL72vedxjQkDDP1mXWo6uco=。其中，v1.7.4是模块的版本号，h1:后面的一大串字符是该版本模块内容的哈希值。
2、内容结构
go.sum文件由多行组成，每一行对应一个依赖模块的版本和哈希值。其格式通常为module@version hash。其中，module是依赖模块的路径，version是模块的具体版本号，hash是模块内容的哈希值。
除了直接依赖的模块，go.sum文件还会记录间接依赖模块的信息。例如，如果你的项目依赖了模块 A，而模块 A 又依赖了模块 B，那么go.sum文件中会同时包含模块 A 和模块 B 的版本和哈希值。
3、作用范围
go.sum文件是特定于一个项目的，它会随着项目的依赖变化而更新。当添加、更新或删除依赖模块时，go mod会自动更新go.sum文件，以确保依赖的完整性。
在团队协作中，go.sum文件应该和项目的其他代码一起提交到版本控制系统中。这样，每个团队成员在拉取项目代码时，都能确保使用相同版本的依赖模块，并且可以通过go.sum文件中的哈希值验证依赖模块的完整性，避免因依赖不一致而导致的构建问题。
4、安全保障性
go.sum文件提供了一种安全机制，防止依赖模块被恶意篡改。如果攻击者试图修改某个依赖模块的内容，那么该模块的哈希值将不再与go.sum文件中的记录匹配，从而在构建项目时被检测到。这有助于确保项目依赖的可靠性和安全性，降低了潜在的安全风险。
