go mod verify 用于校验依赖与 go.sum 中哈希值的一致性，不下载新模块；需在项目根目录运行，全部通过输出“all modules verified”，失败则提示具体模块及原因；CI 中应先 go mod download 再 verify 以确保完整性。
使用 go mod verify 可以检查当前模块的依赖是否与 go.sum 文件中记录的哈希值一致，从而验证依赖包未被篡改或意外变更。它不下载新模块，只校验本地缓存和 go.sum 的一致性。
验证当前模块所有依赖的完整性
在项目根目录（含 go.mod 的目录）下直接运行：
go mod verify
命令会遍历 go.mod 中声明的所有依赖模块（包括间接依赖），逐个比对本地 $GOPATH/pkg/mod 缓存中的归档文件哈希值与 go.sum 中记录的 checksum 是否匹配。
立即学习“go语言免费学习笔记（深入）”；
若全部通过，输出：all modules verified；若某模块不一致，会明确指出模块名、版本及校验失败原因（如 checksum mismatch 或 missing sum entry）。
配合 go mod download 预加载后再验证
如果本地模块缓存不全（例如 CI 环境刚拉取代码），go mod verify 可能因缺失模块而报错 missing module。此时应先下载所有依赖：
go mod download
go mod verify
注意：go mod download 会按 go.sum 中的 checksum 下载对应版本，确保获取的是预期内容，再验证更可靠。
验证时忽略特定模块（谨慎使用）
go mod verify 不支持直接跳过某个模块，但可通过临时移除其 go.sum 条目并重新生成来绕过（不推荐）。更安全的做法是：确认该模块是否确为可信来源（如内部私有模块），然后用以下方式更新其 checksum：
go mod tidy -v（会自动下载并更新 go.sum）
或
go mod download
之后再运行 go mod verify，即可包含该模块的最新校验。
集成到 CI/CD 流程中保障构建可信性
在自动化构建脚本（如 GitHub Actions、GitLab CI）中，建议在编译前加入验证步骤：
go mod download
go mod verify
go build -o myapp .
这样可确保每次构建使用的依赖与开发时一致，防止因缓存污染、中间人攻击或恶意替换导致的供应链风险。若验证失败，CI 应立即终止流程并告警。
