go list -m all是否为Go应用实际使用的依赖模块列表？

go list -m all列出的是应用实际使用的模块版本这一说法完全正确。

原理说明 #

• Go依赖采用最小版本选择规则完成版本计算：构建应用时，对每一个依赖模块，只会选中整个依赖链中声明的语义最高的版本，这个规则选出的全量依赖（包括直接和间接依赖）版本，均可通过go list -m all查询，也是最终会被编译进二进制、运行时实际加载的唯一版本。
• go.sum本质是校验和记录文件，不是版本锁文件：它会存储所有Go命令操作过程中接触过的模块版本的哈希，包括为了完成版本选择而拉取的间接依赖的go.mod对应版本、版本升级后残留的旧版本哈希，这些未出现在go list -m all中的版本从来不会被纳入实际构建流程。

上述示例中go.sum里存在的logrus v1.2.0，只是prometheus/common v0.4.0的go.mod中声明的依赖版本，Go在计算依赖版本时需要拉取这个版本的go.mod参与最小版本选择运算，最终因为项目go.mod直接声明了更高的logrus v1.8.1，所以v1.2.0不会被实际使用，仅哈希留在了go.sum中，和观测到的go list -m all仅输出v1.8.1的结果一致。

漏洞扫描问题说明 #

仅扫描go.sum检测到的、未出现在go list -m all输出中的漏洞版本属于误报，这些版本仅在版本选择阶段被拉取了go.mod文件用于计算依赖树，不会被编译进最终二进制，也不会被应用实际使用。如果需要清理go.sum中的冗余条目，可以删除现有go.sum文件后重新执行go mod tidy，重新生成的go.sum会仅保留当前依赖计算所需的最小校验和集合。

内容的提问来源于stack exchange，提问作者new_bee