Модули Go: версии и зависимости

Модуль описывается go.mod: путь модуля, директива go (минимальная версия языка, от неё зависит, например, семантика переменной цикла), toolchain (какую версию тулчейна предпочесть, с Go 1.21 go скачает её сам), require с версиями зависимостей, replace для подмены и exclude. Версии выбираются по MVS: каждое требование означает «не ниже», и берётся максимум по графу, поэтому без lock-файла сборка воспроизводима, а новые версии сами не приезжают. go.sum хранит хеши, а при первом скачивании они сверяются с sum.golang.org. Модули качаются через GOPROXY, по умолчанию proxy.golang.org. Несовместимые версии с v2 имеют суффикс в пути, и v1 с v2 могут жить в одной сборке. Приватные модули: GOPRIVATE=gitlab.company.ru/*, тогда go идёт напрямую в git и не проверяет хеши в публичной базе, доступ через .netrc или токен. Обновляю go get -u ./... или точечно, смотрю go list -m -u all, проверяю уязвимости govulncheck. Форк подключаю через replace. Несколько модулей в одном репо удобно связывать через go.work.