Go GOPRIVATE 配置后为什么仍访问公共代理

私有模块已经设置了 GOPRIVATE，日志里却仍然出现 proxy.golang.org，通常不是 Go 忽略了配置，而是“私有判定”和“代理选择”没有对上。最常见的原因有三个：路径前缀没有匹配真实 module path，GONOPROXY 单独覆盖了默认值，或者团队的 GOPROXY 故意保留了公共代理回退。

先执行 go env GOPRIVATE GONOPROXY GONOSUMDB GOPROXY GOSUMDB，再把报错中的完整模块路径与这些值逐字符对照。只有命中 GONOPROXY 的模块才会绕过代理；仅命中 GONOSUMDB 只能停止公共校验数据库访问，不能阻止公共代理请求。

先确认到底是谁让请求进入公共代理

Go 默认的 GOPROXY 是 https://proxy.golang.org,direct。逗号表示只有在前一个代理返回 404 或 410 时才继续回退；因此看到公共代理请求，不等于最终一定从公共代理拿到了私有代码，也可能只是路径未被判定为 private 后触发了默认链路。

值班时先记录五个值和模块完整路径，注意不要把真实内部域名、账号或令牌写进日志：

# 读取当前进程真正会使用的模块下载与校验配置
go env GOPRIVATE GONOPROXY GONOSUMDB GOPROXY GOSUMDB

# 用模块路径触发一次最小下载，便于观察回退位置
GOPROXY=off go mod download corp.example.com/team/payment@v0.8.2

第二条命令的意义是“禁止任何网络”，它不是修复方案。若缓存中已有该版本，命令可能直接成功；若未缓存，则失败可以证明当前问题不只是公共代理回退，还包括本地缓存或后续认证路径。

路径匹配错一段，GOPRIVATE 就等于没写

GOPRIVATE 使用 Go 的路径匹配规则，匹配的是模块路径前缀。假设 go.mod 写的是 module corp.example.com/team/payment，那么 GOPRIVATE=corp.example.com 可以覆盖它；如果实际路径是 git.corp.example.com/team/payment，前面的 git. 不能省略。

还要留意通配符的边界。*.corp.example.com 用来覆盖带子域的路径，而直接写 corp.example.com 更适合覆盖该前缀下的模块。不要拿 Git 仓库的 SSH 地址、项目展示名或包的 import 别名替代 go.mod 的 module path。

按网络架构选择修复配置

如果没有可信的私有模块代理，最小配置是：

# 仅让 corp.example.com 前缀的模块绕过代理与公共校验库
go env -w GOPRIVATE=corp.example.com

# 让公共模块继续使用默认代理；私有模块由 Git 直接访问
go env GOPROXY GONOPROXY GONOSUMDB

如果公司有私有代理，优先使用私有代理承载内部模块。例如：

# 私有模块先到内网代理，公共模块仍可从公共代理取得
go env -w GOPROXY=https://proxy.corp.example.com,https://proxy.golang.org,direct
go env -w GOPRIVATE=corp.example.com

# 保持私有模块不进入公共 checksum 数据库
go env -w GONOSUMDB=corp.example.com

这里不要机械地再写 GONOPROXY=corp.example.com。它会让匹配的私有模块跳过所有代理，连可信内网代理也绕过。只有“私有模块没有任何代理可用”时，才把它作为明确的 direct 策略。另一个容易忽略的边界是：私有代理返回 404/410 时，Go 会按列表继续回退；如果模块路径拼错，公共代理可能再次看到这段路径。

清理缓存后做一次可解释的复查

配置生效后，不要立刻把所有缓存删除。先保存 go env 输出和失败模块版本，再只清理目标模块的下载缓存，避免影响其他构建任务：

# 先列出目标模块的缓存目录，确认清理对象
go env GOMODCACHE
go clean -modcache

# 重新下载并观察失败发生在代理、校验库还是 Git 认证
go mod download -x corp.example.com/team/payment@v0.8.2

go clean -modcache 会清理整个模块缓存，生产机上应安排在可接受的维护窗口，或使用隔离的临时 GOPATH 做验证。若日志已经不再出现公共代理，但在 git ls-remote 处失败，说明 GOPRIVATE 已经命中，剩下的是 Git 的凭据、SSH/HTTPS 映射或服务器权限问题。

Go 默认把 Git 的交互提示关闭，CI 里应提前配置非交互凭据；不要把用户名和令牌直接嵌进 GOPROXY 并提交到脚本或日志。修复完成后重点复查三件事：私有路径没有发给不该接收的代理，公共依赖仍能按团队策略下载，go.sum 对公共模块的校验没有被全局关闭。

常见问题

只设置 GONOSUMDB 可以阻止公共代理吗？不可以。它只控制 checksum database；要控制代理路径，应检查 GOPRIVATE 或 GONOPROXY。

为什么 GOPROXY=direct 后问题消失？它让所有模块都直连版本库，只能证明代理链路绕开了，不能说明 GOPRIVATE 的匹配规则正确。公共模块也会失去代理缓存带来的稳定性。

配置改了但日志没有变化怎么办？确认命令读取的是同一用户、同一环境下的 go env，再排除模块缓存和已有 GONOPROXY 覆盖项。

参考：Go Modules Reference（https://go.dev/ref/mod）与 Go 官方 Managing dependencies 文档（https://go.dev/doc/modules/managing-dependencies）。