内网禁止特定域名时，如何下载Go依赖包？

1. 用Go模块代理（优先推荐） #

• 如果公司有内部运维搭建的Go模块代理，直接配置环境变量指向它：

  go env -w GOPROXY="http://内部代理地址,direct"
  

• 要是没有内部代理，找一台能连外网的机器搭个简易代理（比如用Athens或者goproxy的自建版本），然后内网机器把GOPROXY设为这台机器的地址。

2. 用replace指令定向到GitHub镜像 #

• 大部分cloud.google.com/go下的包，源码都同步在GitHub的googleapis/google-cloud-go仓库里，直接在项目的go.mod里加replace规则：

  replace cloud.google.com/go => github.com/googleapis/google-cloud-go v0.65.0
  

• 注意版本号要和依赖要求的完全一致（比如你报错里的v0.65.0）。如果有子包依赖，比如cloud.google.com/go/storage，同样加对应的replace：

  replace cloud.google.com/go/storage => github.com/googleapis/google-cloud-go/storage v1.10.0
  

• 这种方式比手动克隆所有依赖省心，只替换实际用到的包。

3. 离线导出依赖包 #

• 在能连外网的机器上，先下载项目所有依赖到本地缓存：

  go mod download -modfile=你的项目路径/go.mod
  

• 然后导出到vendor目录：

  go mod vendor -modfile=你的项目路径/go.mod -o ./vendor
  

  或者直接复制$GOPATH/pkg/mod里对应版本的包文件夹，传到内网机器的相同路径下。
• 内网机器上关闭代理和校验：

  go env -w GONOSUMDB="*"
  go env -w GOPROXY="off"
  

  这样Go会优先用本地缓存或vendor里的包。

4. 申请IT开放白名单 #

• 整理依赖链里需要的域名（比如cloud.google.com、google.golang.org等），尤其是go-get请求需要的路径，提交给IT部门申请白名单。可以只开放特定路径的访问，不用放开整个域名，降低安全风险。

内容的提问来源于stack exchange，提问作者didymosdev