Go GOPRIVATE 配置后私有模块仍走代理怎么办

配置完GOPRIVATE变量之后，拉取私有Go模块的请求还是走了公共代理地址，不用慌，这种问题基本都是规则匹配顺序、环境变量优先级或是GOPROXY兜底配置不对导致的，顺着下面的步骤逐一排查就能快速解决。

GOPRIVATE的匹配优先级高于GOPROXY代理规则，只要你的私有模块路径完整命中GOPRIVATE的前缀规则，就会直接走本地直连/私有模块源拉取，不会再走任何配置的公共代理地址。

如果配置了 GOPRIVATE，私有模块却仍然出现在公共代理或校验数据库的请求里，先不要把 GOPROXY 全局改成 direct。更常见的根因是：模块路径没有命中 glob、GONOPROXY 覆盖了默认值，或者配置只写在当前终端而没有进入真正启动 Go 进程的环境。Go 官方模块参考地址是 https://go.dev/ref/mod。

GOPRIVATE 是匹配“私有模块路径前缀”的默认规则，会同时作为 GONOPROXY 和 GONOSUMDB 的默认值；但如果单独设置了这两个变量，默认关系就会被覆盖。先用 go env 看最终生效值，再判断请求的是公共代理、企业私有代理还是校验数据库。

• 不希望私有模块访问任何代理：让 GONOPROXY 命中它，并保留可用的直接访问凭据。
• 公司有可信私有代理：让私有模块继续走该代理，不要把“走代理”误判为配置失败。
• 只想保护路径和校验信息：分别检查 GOPROXY、GONOPROXY、GONOSUMDB，不要只盯着 GOPRIVATE。

先分清你看到的是哪一个代理

Go 默认的 GOPROXY 是 https://proxy.golang.org,direct。公共代理返回 404 或 410 时，Go 才会按列表继续尝试下一个来源；这和“私有模块应该直接访问版本控制仓库”是两层判断。

如果公司配置了 https://proxy.corp.example.com，私有模块仍然经过它可能是预期行为。真正需要处理的是私有模块是否被送到了不应访问它的公共代理，或者是否还被送往公共校验数据库。

第一处根因：GOPRIVATE 没有匹配实际模块路径

GOPRIVATE 接收的是以逗号分隔的 glob 模式，匹配模块路径前缀。配置应该围绕 go.mod 里真实的 module 路径，而不是围绕仓库网页地址、Git 组织名或某个具体包名猜测。

# 只把公司模块路径前缀标记为私有，逗号分隔多个模式
go env -w GOPRIVATE=git.corp.example.com/platform/*,code.example.net/team/*

# 查看 Go 命令最终读取到的值；不要只看当前 shell 的 export
go env GOPRIVATE GONOPROXY GONOSUMDB GOPROXY

例如模块是 git.corp.example.com/platform/logkit，模式应覆盖 git.corp.example.com/platform/ 这一段。若实际路径换成了另一个域名、组织层级或大小写形式，原来的模式不会因为“看起来属于同一家公司”而自动命中。

第二处根因：GONOPROXY 覆盖了 GOPRIVATE 的默认值

官方文档明确说明：GOPRIVATE 默认提供 GONOPROXY 和 GONOSUMDB 的值，但显式设置 GONOPROXY 后，Go 会使用后者决定哪些模块不能从代理下载。排查时最容易忽略的就是旧脚本、镜像构建参数或团队启动配置中留下的覆盖值。

# 先读取最终配置，确认是否存在覆盖关系
go env GOPRIVATE GONOPROXY GONOSUMDB

# 没有独立策略时，清除旧的覆盖值，让它回到 GOPRIVATE 的默认关系
go env -u GONOPROXY
go env -u GONOSUMDB

如果公司使用可信私有代理服务全部模块，则不要机械清除所有定制：这类架构可能故意让私有模块走企业代理，只把 GONOSUMDB 配成私有路径。判断标准是代理是否属于组织的可信基础设施，而不是请求里是否出现了“proxy”字样。

第三处根因：配置写对了，却没有进入目标进程

go env -w 写入 Go 的持久化环境配置，export GOPRIVATE=... 只影响当前 shell 及其子进程。容器、CI、systemd 或进程管理器启动的 Go 程序，可能使用完全不同的环境来源。

# 在启动目标程序的同一环境里查看最终配置
go env GOPRIVATE GONOPROXY GONOSUMDB GOPROXY

# 只用于单次排查，不把凭据写进 GOPROXY URL 或公共日志
GOPRIVATE=git.corp.example.com/platform/* \
GONOPROXY=git.corp.example.com/platform/* \
go mod download git.corp.example.com/platform/logkit@latest

如果仍然报认证失败，那通常已经越过“是否访问公共代理”的问题，进入 Git 凭据、GOVCS 或仓库权限排查。不要为了绕过认证把 GOSUMDB=off 作为万能修复；它会扩大关闭校验的范围，私有路径更适合用 GONOSUMDB 精确限定。

按部署方式选择最终配置

最后把配置检查放在真正的构建环境中：确认 go env 读到的值、确认模块路径与模式匹配、确认企业代理的错误码和回退策略，再区分代理路由、校验数据库和仓库认证。这样才能解释“GOPRIVATE 已配置但仍走代理”到底是配置未命中，还是代理本来就属于你的架构。

相关问题

设置 GOPRIVATE 后还需要设置 GONOSUMDB 吗？

通常不需要，因为 GOPRIVATE 默认提供 GONOSUMDB 的匹配范围。只有当校验数据库策略与“不走代理”的范围不同，才单独设置。

为什么 GOPRIVATE 配置后还是看到代理域名？

先确认代理域名是公共代理还是企业私有代理；再读取 GONOPROXY 是否覆盖了默认值，并确认检查命令和目标程序使用的是同一套 Go 环境。