Github Dependabot提示更新gopkg.in/yaml.v2，更新后CI校验失败求助

你的问题核心是更新依赖后，项目的vendor目录未同步更新，导致CI代码扫描检测到go.mod与vendor/modules.txt不一致。执行以下终端命令即可修复：

• 精准更新目标依赖，避免意外更新其他间接依赖：

  go get gopkg.in/yaml.v2@v2.4.0
  

• 清理无用依赖，确保go.mod和go.sum的完整性：

  go mod tidy
  

• 重新生成vendor目录，同步依赖变更到本地vendor库：

  go mod vendor
  

• 验证变更内容，确认只有必要文件被修改：

  git diff
  

• 提交变更：

  git add go.mod go.sum vendor
  git commit -m "Update gopkg.in/yaml.v2 to v2.4.0"
  

额外说明 #

• 之前使用go get -u会自动更新目标依赖的所有间接依赖，可能引入不必要的变更，建议直接指定版本号更新目标依赖即可。
• 如果你的CI配置要求严格同步vendor目录与go.mod，每次修改依赖后都必须执行go mod vendor来更新本地vendor库。

内容的提问来源于stack exchange，提问作者higgsBoson1