Go GOPROXY 怎么为内网模块配置回源策略

内网模块代理要做“回源”，通常不是把 GOPROXY 写成一串地址就结束。先给结论：如果公司的私有代理既能提供私有模块，又允许公开模块继续查找，可以使用 GOPROXY=https://proxy.corp.example.com,https://proxy.golang.org,direct，再用 GONOSUMDB=corp.example.com 避免私有路径访问公共 checksum 数据库。逗号表示只有 404 或 410 才继续；如果内网代理的临时故障也要回源，才考虑竖线。

先把回源拆成代理链和私有模块规则

可以把一次模块下载想成两个独立决定。第一问是“去哪个下载源”，由 GOPROXY 负责；第二问是“哪些模块不应送到公共代理或公共校验服务”，由 GOPRIVATE、GONOPROXY 和 GONOSUMDB 负责。把这两问混成一个变量，最容易出现“明明配置了内网代理，Go 却直接访问 Git”的错觉。

如果内网代理能够缓存或读取 corp.example.com 下的私有模块，建议先从下面这组配置开始：

# 内网代理优先，公开模块允许继续查找，最后才直连版本库
go env -w GOPROXY=https://proxy.corp.example.com,https://proxy.golang.org,direct
# 私有模块不交给公共 checksum 数据库查询
go env -w GONOSUMDB=corp.example.com
# 查看 go 命令真正读取到的持久化配置
go env GOPROXY GOPRIVATE GONOPROXY GONOSUMDB GOSUMDB

这里的 corp.example.com 只是示例前缀。生产环境应替换成真实模块路径前缀，并确认内网代理本身有权限读取对应仓库。GONOSUMDB 解决的是校验数据库边界，不等于给代理授权，也不会让不可访问的仓库自动可用。

GOPROXY 的回源策略取决于分隔符和错误码

GOPROXY 中的地址按从左到右排列，但后一个地址是否会被尝试，取决于连接符。逗号更适合表达“内网代理明确说没有这个模块，才去别处找”；竖线更像“当前服务异常也不要阻塞构建”。

例如内网代理返回 404，说明它没有这一个模块版本，逗号链会继续；如果返回 403，通常代表权限、许可证或组织策略，逗号链会停在这里。此时直接把逗号改成竖线，可能绕过了本来应该被阻断的策略。先看响应码和代理日志，再决定是否需要容错。

私有模块代理与 GOPRIVATE 不要混用

GOPRIVATE 很有用，但它默认会影响 GONOPROXY 和 GONOSUMDB。如果把私有模块前缀写进 GOPRIVATE，又没有覆盖 GONOPROXY，匹配到的模块往往会绕过代理，转为直接连接版本库。这正是内网代理“看起来没有生效”的常见原因。

两种场景要分开：

• 没有私有代理，私有模块只从 Git 等版本库下载：使用 GOPRIVATE=corp.example.com，让它避开公共代理和公共 checksum 数据库。
• 有私有代理，且希望私有模块也经过它：可以保留私有范围标记，同时设置 GONOPROXY=none，并单独设置 GONOSUMDB=corp.example.com。

# 私有代理承接私有模块，不让 GOPRIVATE 的默认值把它们改成直连
go env -w GOPRIVATE=corp.example.com
# 覆盖 GOPRIVATE 对 GONOPROXY 的默认影响，让模块仍可走 GOPROXY
go env -w GONOPROXY=none
# 私有模块仍不访问公共 checksum 数据库
go env -w GONOSUMDB=corp.example.com

这组变量不是越多越安全。真正需要的是先确定“私有模块由谁下载”，再决定是否需要 GOPRIVATE；如果代理已经是可信的统一入口，配置应尽量集中，避免开发机和 CI 使用不同的下载路径。

用 go env 和一次最小请求核对配置

排查时不要只看当前 shell 里的环境变量。go env 可能还读取了 go env -w 写入的持久化值，CI 也可能在启动脚本里覆盖它。先记录最终配置，再做一个范围最小的模块请求：

# 先确认持久化配置，避免只修改了当前终端
go env GOPROXY GOPRIVATE GONOPROXY GONOSUMDB GOSUMDB GOMODCACHE
# 用一个明确版本的模块请求观察代理日志和最终错误
GONOSUMDB=corp.example.com go mod download corp.example.com/payments/api@v0.4.2
# 清理测试缓存后再复现，避免把旧缓存误认为回源成功
go clean -modcache

核对结果时抓住三点：第一，私有模块是否真的命中了内网代理；第二，公开模块缺失时代理返回的是 404/410 还是 403/5xx；第三，最后出现的 Git 错误是否只是 direct 阶段的权限问题。这样能把“没有回源”拆成明确的策略、响应码或凭据故障。

常见问题

逗号和竖线可以混着写吗？

可以。它们表达不同的容错边界，例如 proxy-a,proxy-b|direct 表示第一段只接受 404/410 回源，而第二段遇到错误时允许继续。生产配置应把这种意图写进运维说明。

设置了 GOPRIVATE 后为什么内网代理没有日志？

先检查 GONOPROXY。它未显式设置时通常继承 GOPRIVATE，匹配模块会直接访问版本库；私有代理承接模块时可用 GONOPROXY=none 覆盖这一默认值。

GONOSUMDB 能解决私有仓库没权限吗？

不能。它只控制 checksum 数据库查询，仓库权限、代理鉴权和 Git 凭据仍需单独配置。