go.mod 中 require 的版本号表示主版本兼容前提下的最新可用小版本，实际构建可能拉取更高 patch 版本；真正固定版本依赖 go.sum 与 go.mod 共同作用。
go.mod 里 require 的版本号到底代表什么
它不是“最低版本”，也不是“精确锁定”，而是 Go 模块系统在构建时默认选用的**主版本兼容前提下的最新可用小版本**（即满足语义化版本规则的 v1.2.x 中最高那个）。比如 require github.com/sirupsen/logrus v1.9.0，实际构建时若存在 v1.9.3 且未被 exclude 或 replace 干扰，Go 仍可能拉取 v1.9.3 —— 只要它属于 v1.9.* 范围。
真正实现“固定”靠的是 go.sum 文件：它记录了每个模块确切的 commit hash 和文件哈希，保证重复 go build 或 go mod download 拉到的代码完全一致。所以“固定版本”的实质是 go.sum + go.mod 共同生效，缺一不可。
用 go get 精确升级或降级某个依赖
直接运行 go get 命令是最常用、最可控的方式。它会自动更新 go.mod 中的版本号，并同步刷新 go.sum。
- 升级到特定版本：
go get github.com/sirupsen/logrus@v1.9.3
- 降级回旧版（哪怕已删）：
go get github.com/sirupsen/logrus@v1.8.1
- 升级到最新 patch（保持 minor 不变）：
go get github.com/sirupsen/logrus@latest
（注意：@latest可能跨 minor，慎用） - 只更新
go.mod不下载代码（适用于 CI 或预检）：go get -d github.com/sirupsen/logrus@v1.9.3
执行后务必检查 go.mod 是否写入了你预期的版本号，并确认 go.sum 新增/修改了对应条目。如果没生效，可能是 GOPROXY 缓存或本地 pkg/mod 缓存干扰，可加 -u=patch 或清缓存：
go clean -modcache
立即学习“go语言免费学习笔记（深入）”；
go mod tidy 会悄悄改掉你的版本号吗
会，但只在特定条件下。它本身不主动升级，但它会“补全缺失依赖”并“修剪未使用依赖”。如果项目中某处间接引用了 github.com/sirupsen/logrus v1.9.3（比如通过另一个依赖），而你 go.mod 里只写了 v1.9.0，那么 go mod tidy 会把 go.mod 升级为 v1.9.3，以满足最小版本选择（MVS）规则。
避免意外升级的方法：
- 确保所有直接依赖都显式声明版本，不要依赖间接传递
- 升级前先
go list -m all | grep logrus查看当前解析出的实际版本 - 对关键依赖加
exclude（不推荐长期用，仅应急）：exclude github.com/sirupsen/logrus v1.9.3
- 用
go mod graph检查谁引入了更高版本
为什么 go.mod 里出现 // indirect 标记
这表示该依赖不是你项目直接 import 的，而是由其他模块引入的“间接依赖”。它的版本由 Go 的 MVS 算法决定，不受你 require 行直接控制 —— 即使你在 go.mod 里手动写死一个 indirect 依赖的版本，go mod tidy 仍可能覆盖它。
想真正锁定它，必须让它变成直接依赖：
- 在任意
.go文件中加一行import _ "github.com/sirupsen/logrus"（即使不用） - 再运行
go mod tidy，此时该依赖会从// indirect变成普通require，后续就受你控制了
不过要注意：这种“假 import”会让静态分析工具误判，更稳妥的做法是明确业务逻辑是否真需要它，或者用 replace 强制指定来源和版本。
