Go Go modules vendor 之后为什么仍可能访问网络

项目明明已经执行过 go mod vendor，CI 里运行命令时却还是能看到模块代理或版本控制服务器的访问记录，通常不是 vendor 失效，而是把“构建依赖从哪里读”和“模块维护命令是否联网”混成了一件事。

真正使用 -mod=vendor 的 go build、go test 会从主模块根目录的 vendor 读取依赖，不使用网络或模块缓存；但 go mod tidy、go mod vendor、go mod download、go get 仍按模块维护逻辑工作，必要时会访问代理或源码仓库。先看命令类型，再看模式来源，问题就容易定位。

先判断当前命令有没有真正使用 vendor

最常见的误判是“目录存在，所以所有 go 命令都应该离线”。Go 只使用主模块根目录下名为 vendor 的目录；在模块模式中，显式的 -mod=vendor 最直接。若 go.mod 的 go 指令为 1.14 或更高，且 vendor/modules.txt 与 go.mod 一致，构建类命令还可能自动采用 vendor 模式。

# 查看模块根目录、默认构建标志和代理配置
go env GOMOD GOFLAGS GOPROXY

# CI 中显式固定依赖读取路径；./... 表示主模块内的包
go build -mod=vendor ./...
go test -mod=vendor ./...

如果环境里设置了 GOFLAGS=-mod=mod，它会让命令忽略 vendor；命令行显式参数应当作为最终排查依据。另一个关键点是 vendor/modules.txt：它不仅列出被复制的模块，也承担版本清单作用。go.mod 改过而清单没更新时，Go 会报不一致错误，而不是替你静默选择另一套依赖。

构建和测试为什么能离线，而模块维护命令不能

这次故障的时间线通常是：先生成 vendor，随后在 CI 执行了一个看似“准备依赖”的模块命令，网络日志因此出现；接着才执行构建。前后两个命令都带着同一个项目目录，却不代表它们共用同一条路径。

因此，若目标是“构建阶段零模块网络请求”，不要在同一阶段顺手执行 go mod tidy 或 go mod vendor。把依赖更新放到有网络的维护任务，提交更新后的 go.mod、go.sum、vendor/ 和 vendor/modules.txt，构建任务只负责读取冻结结果。

先看命令类型，再判断网络边界

如果使用显式 -mod=vendor 的构建仍出现网络访问，继续检查两层边界。第一层是构建命令外是否调用了 go generate、代码生成器、下载脚本或测试中的外部服务；这些行为不属于 vendor 的依赖装载承诺。第二层是流水线是否在构建前执行了模块维护命令，或某个脚本通过 go run 解析了未被 vendor 覆盖的工具依赖。

排查时可以把日志按命令分组：记录实际执行的完整参数、GOFLAGS、GOPROXY 和工作目录，不要只看最后一行“build succeeded”。若是离线构建，可先在隔离网络环境运行明确的 go build -mod=vendor ./...；若它失败，错误应优先指向 vendor 内容或模式配置，而不是靠继续放开网络来掩盖。

CI 中怎样固定可重复的 vendor 策略

一个稳妥的拆分是：联网维护任务负责升级依赖、运行 go mod tidy 和 go mod vendor，提交变更；构建任务只接收代码仓库和已生成的 vendor 目录，并显式使用 -mod=vendor。不要把“目录存在”当作策略，命令参数才是可审计的策略。

# 构建阶段固定 vendor；失败就暴露清单或目录不完整问题
export GOFLAGS=-mod=vendor
go test ./...
go build ./...

# 依赖维护阶段允许解析模块；完成后重新生成并提交 vendor
unset GOFLAGS
go mod tidy
go mod vendor

这里的 unset GOFLAGS 只是示例，实际 CI 应用显式的 job 环境隔离，避免维护阶段的联网设置泄漏到构建阶段。若必须强制任何模块下载都失败，可以在构建容器中把 GOPROXY 设为 off，但这属于额外保险，不能替代 vendor 清单管理。

相关问题

vendor 目录存在，为什么 Go 还是提示缺少模块？

先确认目录位于主模块根目录，再检查 vendor/modules.txt 是否存在并与 go.mod 对应。必要时在联网维护阶段重新运行 go mod vendor。

-mod=vendor 能用于 go get 吗？

不能把它当作依赖修改模式。go get 的职责是改变模块需求，完成后应重新整理并生成 vendor。

设置 GOPROXY=off 就等于使用 vendor 吗？

不等于。它只禁止模块代理访问；是否从 vendor 读取，还要看 -mod、GOFLAGS 和自动 vendoring 条件。

测试命令使用 vendor 后仍可能访问别的地址吗？

可能。测试依赖装载可以离线，但测试代码、生成器或外部服务客户端仍可能主动发起网络请求，这属于业务或工具行为。