为何执行go list -mod=readonly -m all需要访问私有仓库？

问题场景 #

在存在vendor目录的Go项目中，尝试通过以下命令打印项目直接依赖列表：

go list -mod=readonly -m -f '{{ if not .Indirect }}{{ .Path }}{{ end }}' all

此前的认知为：必须使用-mod=readonly参数的原因是go list拒绝仅基于vendor目录中的不完整信息输出依赖查询结果。

• 本地环境执行正常：执行环境持有私有仓库github.com/monzo/argo-rollouts的访问权限
• CI环境执行失败，抛出如下错误：

go list -m: github.com/argoproj/argo-rollouts@v0.0.0-20220309162305-84c86ea52e8f (replaced by github.com/monzo/argo-rollouts@v0.0.0-20220309162305-84c86ea52e8f): version "v0.0.0-20220309162305-84c86ea52e8f" invalid: git fetch -f origin refs/heads/*:refs/heads/* refs/tags/*:refs/tags/* in /home/circleci/go/pkg/mod/cache/vcs/052bf06be1713582ba9f1144e9982b362ff355fec71675863c108f9cf5a00bb4: exit status 128:
    ERROR: Repository not found.
    fatal: Could not read from remote repository.
    
    Please make sure you have the correct access rights
    and the repository exists.

核心疑问 #

• 执行命令时未传入-u参数，为什么go list -mod=readonly仍然需要访问私有仓库？
• 处于vendor模式下，为什么该命令无法直接从本地获取所需的依赖信息？

现有临时方案 #

目前可通过解析vendor/modules.txt提取提供代码包的模块，再传入go list -m实现需求，但该文件为面向机器读取的内部格式，官方未承诺版本间格式稳定性，具体实现如下：

# modules-that-provide-packages.awk
BEGIN {
        mod = ""
}

# 匹配模块行时记录模块路径
/^# / {
        mod = $2
}

# 匹配非注释的包行时输出所属模块
!/^# / {
        print mod
}

执行命令：

awk -f modules-that-provide-packages.awk vendor/modules.txt \
    | sort -u \
    | xargs go list -m -f '{{ if not .Indirect }}{{ .Path }}{{ end }}'

未传-u仍触发网络请求的原因 #

-mod=readonly的作用仅为禁止Go命令在执行过程中自动修改go.mod、go.sum文件，不会阻止模块元数据的拉取与校验。
执行go list -m all时，命令逻辑优先加载完整模块图，而非仅读取本地缓存或vendor目录：

• 当项目go.mod中配置了replace规则，将公有模块替换为私有仓库地址时
• 若本地模块缓存中不存在对应伪版本的完整元数据，Go会默认从远端拉取版本信息校验合法性，该行为与是否传入-u无关。-u参数的作用是将依赖升级到最新小版本/补丁版本，并非触发网络请求的开关。

vendor模式下无法读取本地依赖信息的原因 #

核心原因是**-m参数的执行优先级高于vendor模式**：

• 带-m参数的go list属于模块查询模式，设计上基于模块源（本地缓存、模块代理、远端仓库）返回模块元数据，不会读取vendor目录内容。vendor目录仅在包编译、不带-m的包列表查询场景下生效。
• vendor目录仅存储依赖包的源码文件，不包含完整模块元数据（如依赖是否为间接依赖、模块完整校验信息等），go list -m所需的.Indirect类字段无法仅通过vendor目录中的现有信息生成。

稳定实现方案 #

如果不希望依赖vendor/modules.txt的非公开格式，同时无需给CI环境配置私有仓库访问权限，可以直接使用Go官方原生的vendor参数避免触发网络请求：查询时增加-mod=vendor参数，直接遍历项目下所有包，提取所属模块路径并过滤间接依赖即可，命令输出为官方承诺的稳定格式，不存在版本兼容问题：

go list -mod=vendor -f '{{if not .Module.Indirect}}{{.Module.Path}}{{end}}' ./... | sort -u

内容的提问来源于stack exchange，提问作者tompreston