go。sum工作机制

　　为了确保一致性构建，Go引入了go。mod文件来标记每个依赖包的版本，在构建过程中go命令会下载go。mod中的依赖包，下载的依赖包会缓存在本地，以便下次构建。考虑到下载的依赖包有可能是被黑客恶意篡改的，以及缓存在本地的依赖包也有被篡改的可能，单单一个go。mod文件并不能保证一致性构建。
　　为了解决Gomodule的这一安全隐患，Go开发团队在引入go。mod的同时也引入了go。sum文件，用于记录每个依赖包的哈希值，在构建时，如果本地的依赖包hash值与go。sum文件中记录得不一致，则会拒绝构建。
　　go。sum文件记录
　　go。sum文件中每行记录由module名、版本和哈希组成，并由空格分开：moduleversion〔go。mod〕hash
　　比如，某个go。sum文件中记录了github。comgoogleuuid这个依赖包的v1。1。2版本的哈希值：github。comgoogleuuidv1。1。2h1：EVhdT1Kseyi1pUmXKaFxYsDNy9RQYkMWRH68JW7Ygithub。comgoogleuuidv1。1。2go。modh1：TIyPZe4MgqvfeYDBFedMoGGpEwLqOeaOTnhxUyHo
　　正常情况下，每个依赖包版本会包含两条记录，第一条记录为该依赖包版本整体（所有文件）的哈希值，第二条记录表示该依赖包版本中go。mod文件的哈希值，如果该依赖包版本没有go。mod文件，则只有第一条记录。如上面的例子中，v1。1。2表示该依赖包版本整体，而v1。1。2go。mod表示该依赖包版本中go。mod文件。
　　依赖包版本中任何一个文件（包括go。mod）改动，都会改变其整体哈希值，此处再额外记录依赖包版本的go。mod文件主要用于计算依赖树时不必下载完整的依赖包版本，只根据go。mod即可计算依赖树。
　　每条记录中的哈希值前均有一个表示哈希算法的h1：，表示后面的哈希值是由算法SHA256计算出来的
　　go。sum文件中记录的依赖包版本数量往往比go。mod文件中要多，这是因为二者记录的粒度不同导致的。go。mod只需要记录直接依赖的依赖包版本，只在依赖包版本不包含go。mod文件时候才会记录间接依赖包版本，而go。sum则是要记录构建用到的所有依赖包版本。
　　生成
　　当我们在GOMODULE模式下引入一个新的依赖时，通常会使用goget命令获取该依赖，比如：gogetgithub。comgoogleuuidv1。0。0
　　goget命令首先会将该依赖包下载到本地缓存目录GOPATHpkgmodcachedownload，该依赖包为一个后缀为。zip的压缩包，如v1。0。0。zip。goget下载完成后会对该。zip包做哈希运算，并将结果存放在后缀为。ziphash的文件中，如v1。0。0。ziphash。如果在项目的根目录中执行goget命令的话，goget会同步更新go。mod和go。sum文件，go。mod中记录的是依赖名及其版本，如：require（github。comgoogleuuidv1。0。0）
　　go。sum文件中则会记录依赖包的哈希值（同时还有依赖包中go。mod的哈希值），如：github。comgoogleuuidv1。0。0h1：b4Gk7WdPd3HZH8EJsZpvV7EtDOgaZLtnaNGIu1adAgithub。comgoogleuuidv1。0。0go。modh1：TIyPZe4MgqvfeYDBFedMoGGpEwLqOeaOTnhxUyHo
　　在更新go。sum之前，为了确保下载的依赖包是真实可靠的，go命令在下载完依赖包后还会查询GOSUMDB环境变量所指示的服务器，以得到一个权威的依赖包版本哈希值。如果go命令计算出的依赖包版本哈希值与GOSUMDB服务器给出的哈希值不一致，go命令将拒绝向下执行，也不会更新go。sum文件。
　　go。sum存在的意义在于，希望别人或者在别的环境中构建当前项目时所使用依赖包跟go。sum中记录的是完全一致的，从而达到一致构建的目的。
　　校验
　　假设我们拿到某项目的源代码并尝试在本地构建，go命令会从本地缓存中查找所有go。mod中记录的依赖包，并计算本地依赖包的哈希值，然后与go。sum中的记录进行对比，即检测本地缓存中使用的依赖包版本是否满足项目go。sum文件的期望。
　　如果校验失败，说明本地缓存目录中依赖包版本的哈希值和项目中go。sum中记录的哈希值不一致，go命令将拒绝构建。这就是go。sum存在的意义，即如果不使用期望的版本，就不能构建。
　　校验和数据库
　　环境变量GOSUMDB标识一个checksumdatabase，即校验和数据库，实际上是一个web服务器，该服务器提供查询依赖包版本哈希值的服务。
　　该数据库中记录了很多依赖包版本的哈希值，比如Google官方的sum。golang。org则记录了所有的可公开获得的依赖包版本。除了使用官方的数据库，还可以指定自行搭建的数据库，甚至干脆禁用它（exportGOSUMDBoff）。
　　如果系统配置了GOSUMDB，在依赖包版本被写入go。sum之前会向该数据库查询该依赖包版本的哈希值进行二次校验，校验无误后再写入go。sum。
　　如果系统禁用了GOSUMDB，在依赖包版本被写入go。sum之前则不会进行二次校验，go命令会相信所有下载到的依赖包，并把其哈希值记录到go。sum中。