Go语言自引入模块机制后，依赖管理从早期的GOPATH模式转向了以go.mod为核心的版本化管控。go get不仅是获取远程包的工具，也是触发传递性依赖解析的关键入口。它通过读取模块要求、计算最小版本选择来确立整个依赖图谱。
go get的基本行为
在执行go get时，工具会做几件事：更新go.mod中的require指令、下载对应模块到本地缓存、递归分析该模块所依赖的其他模块。例如运行以下命令：
# 获取某个第三方库及其依赖 go get github.com/gin-gonic/gin@v1.9.1
此时Go不仅会添加gin本身，还会把gin所import的如jsoniterator、net/http相关支持库等作为传递性依赖记录进来。
传递性依赖是如何解析的
Go使用最小版本选择原则。也就是说，如果模块A依赖B的v1.1.0，模块C依赖B的v1.2.0，那么最终选中的是v1.2.0，即满足所有要求的最小公共升级版本。这一过程由go命令在内部构建依赖图后自动完成。
依赖图示例
| 主模块 | 直接依赖 | 传递性依赖 |
|---|---|---|
| app | gin v1.9.1 | json-iterator v1.1.12 |
| app | zap v1.24.0 | go.uber.org/atomic v1.9.0 |
查看依赖关系
可以使用如下命令列出全部依赖：
# 以文本树形展示依赖 go mod graph # 查看为什么引入某依赖 go mod why github.com/json-iterator/go
go.mod与go.sum的作用
go.mod记录模块名、Go版本及依赖要求；go.sum则保存每个模块特定版本的哈希值，用来校验传递性依赖是否被篡改。每次go get变更依赖，这两个文件都会相应更新。
代码中的导入与构建
在业务代码中，我们只需要按常规方式导入，Go编译器会依据go.mod解析全部传递性依赖：
package main
import (
// 直接依赖
"github.com/gin-gonic/gin"
// 标准库
"net/http"
)
func main() {
r := gin.Default()
r.GET("/ping", func(c *gin.Context) {
c.JSON(http.StatusOK, gin.H{"msg": "ok"})
})
// 启动服务，传递性依赖在构建期已解析
r.Run(":8080")
}
避免传递性依赖引发的问题
- 定期执行go mod tidy清理未使用依赖
- 使用replace指令临时锁定有问题的传递性依赖版本
- 在CI中开启GOFLAGS=-mod=readonly防止意外修改
理解go get与传递性依赖解析，是写出可复现构建的Go项目的基础。
小结
go get并不是简单的下载器，而是Go模块依赖解析的触发器。它通过最小版本选择把多层传递性依赖收纳进go.mod与go.sum，使构建具备确定性与安全性。掌握这些机制，能让你在升级依赖时更有把握。