【Go专家编程】5分钟玩转go.sum-低调大师

【Go专家编程】5分钟玩转go.sum

2020-02-23 1535

为了确保一致性构建，Go引入了go.mod文件来标记每个依赖包的版本，在构建过程中go命令会下载go.mod中的依赖包，下载的依赖包会缓存在本地，以便下次构建。考虑到下载的依赖包有可能是被黑客恶意篡改的，以及缓存在本地的依赖包也有被篡改的可能，单单一个go.mod文件并不能保证一致性构建。

为了解决Go module的这一安全隐患，Go开发团队在引入go.mod的同时也引入了go.sum文件，用于记录每个依赖包的哈希值，在构建时，如果本地的依赖包hash值与go.sum文件中记录得不一致，则会拒绝构建。

go.sum文件记录

go.sum文件中每行记录由module名、版本和哈希组成，并由空格分开：

<module> <version>[/go.mod] <hash>

比如，某个go.sum文件中记录了github.com/google/uuid 这个依赖包的v1.1.1版本的哈希值：

github.com/google/uuid v1.1.1 h1:Gkbcsh/GbpXz7lPftLA3P6TYMwjCLYm83jiFQZF/3gY=  
github.com/google/uuid v1.1.1/go.mod h1:TIyPZe4MgqvfeYDBFedMoGGpEw/LqOeaOT+nhxU+yHo=

在Go module机制下，我们需要使用依赖包名称和版本才可以准确的描述一个依赖，为了方便叙述，下面我们使用依赖包版本来指代依赖包名称和版本。

正常情况下，每个依赖包版本会包含两条记录，第一条记录为该依赖包版本整体（所有文件）的哈希值，第二条记录仅表示该依赖包版本中go.mod文件的哈希值，如果该依赖包版本没有go.mod文件，则只有第一条记录。如上面的例子中，v1.1.1表示该依赖包版本整体，而v1.1.1/go.mod表示该依赖包版本中go.mod文件。

依赖包版本中任何一个文件（包括go.mod）改动，都会改变其整体哈希值，此处再额外记录依赖包版本的go.mod文件主要用于计算依赖树时不必下载完整的依赖包版本，只根据go.mod即可计算依赖树。

每条记录中的哈希值前均有一个表示哈希算法的h1:，表示后面的哈希值是由算法SHA-256计算出来的，自Go module从v1.11版本初次实验性引入，直至v1.14 ，只有这一个算法。

此外，细心的读者或许会发现go.sum文件中记录的依赖包版本数量往往比go.mod文件中要多，这是因为二者记录的粒度不同导致的。go.mod只需要记录直接依赖的依赖包版本，只在依赖包版本不包含go.mod文件时候才会记录间接依赖包版本，而go.sum则是要记录构建用到的所有依赖包版本。

生成

在GOMODULE模式下，当我们引入一个新的依赖（使用import xxx）时，在使用go命令（go build、go get等）时都会触发依赖包的下载，依赖包首先会被下载到本地的缓存目录$GOPATH/pkg/mod/cache/download，下载的依赖包为某个.zip文件，go命令在下载完后成会对该.zip文件计算哈希值，并保存在后缀为.ziphash的文件中，此哈希值即为依赖包版本整体的哈希值。为了更新go.sum，还会将该.zip包解压并取出go.sum再次计算哈希值，此哈希值即为依赖包版本中go.mod文件的哈希值。

简单来说，go.sum中的记录是go命令首次添加进去的。而且后续随着依赖的增加或减少，go命令也会相应的新增或删除go.sum中的记录。

校验

在GOMODULE模式下，当我们使用go命令构建项目时，如果项目中包含go.sum文件，则会进行依赖包版本的校验。go命令会跟据go.mod到本地缓存目录$GOPATH/pkg/mod/cache/download寻找相应依赖包版本的哈希值，然后与项目中go.sum记录的哈希值比较，如果不一致则表示校验失败，go命令将会拒绝执行。

校验失败说明本地缓存目录中依赖包版本的哈希值和项目中go.sum中记录的哈希值不一致，此时有意思的是如何区别谁对谁错。需要说明的是，二者都可能出错，本地缓存目录中的依赖包版本有可能被有意或无意地修改过，项目中go.sum中记录的哈希值也可能被篡改过。

为了解决这个问题，Go团队引入了GOSUMDB来充当仲裁的角色。

仲裁

环境变量GOSUMDB标识一个checksum database，即校验和数据库。该数据库中记录了很多依赖包版本的哈希值，当本地缓存目录中依赖包版本的哈希值和项目中go.sum中记录的哈希值不一致时，将会从GOSUMDB指示的数据库中查询得到一个准确的哈希值，据此识别出哪个是正确的。

如果是项目中的go.sum哈希值错误，go命令会自动更新go.sum，如果是缓存中的哈希值错误，则go命令拒绝向下执行，需要开发人员自行检查依赖包版本是否被修改过。

此外，环境变量GOSUMDB默认值为sum.golang.org，它是Google 官方维护的一个数据库，其会缓存所有可公开获得的依赖包，也可以指定自行搭建的数据库。还可以使用GOPRIVATE环境变量指定私有的依赖包，从而跳过校验。

参考文档

命令行帮助文档：$ go help module-auth
Go 1.14 源码

赠人玫瑰手留余香，如果觉得不错请给个赞~

本篇文章已归档到GitHub项目，求星~ 点我即达

微信关注我们

原文链接：https://my.oschina.net/renhc/blog/3171035

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Spring注解配置和xml配置优缺点比较

Spring注解配置和xml配置优缺点比较编辑在昨天发布的文章《spring boot基于注解方式配置datasource》一文中凯哥简单的对xml配置和注解配置进行了比较。然后朋友看到文章后，就问：那你说说这两种区别。编辑额，说真的，还真把凯哥给问蒙圈了。本文来源：凯哥Java【kaigejava】凯哥当时就回答：注解的方便。如果再深入呢？还真说不明白。是啊，现在都在说注解好，但是注解和xml比较起来有哪些优点呢？xml又为什么不好呢？有没有深入思考过么？以下内容是凯哥从网上找的并加以理解的。想要弄清楚这个，我们先来看看Xml. 就目前Java web 开发应用中都能见到用xml作为配置的身影。在常用的框架中如：struts、spring mvc、hibernate、mybites等这些框架中(早期版本表现更为突出)都有xml配置。我们就来看看XML的优点： Xml优点 1：xml是集中式的元数据，不需要和代码绑定的；在我们开发中，xml配置文件和代码类是区分开的。不需要绑定到代码中 2：使用xml配置可以让软件更具有扩展性；比如，我们在spring中，我们不想使...

2020-02-28

756

一、前言缓存可以让原本打开很慢的页面，变得能“秒开”。平时访问的APP与网站几乎都涉及缓存的运用。那么，缓存除了能加速数据的访问之外，还有什么作用呢？另外，任何事物都有两面性，我们如何才能将缓存的优点发挥的淋漓尽致，同时避免它的弊端呢？本文就给大家分享一下如何理解缓存，以及它的运用思路，希望对大家有所启发。二、缓存能做什么？正如前面所说，大家最普遍的理解就是当我们遇到某个页面打开很慢的时候，会想到引入缓存，这样页面打开就快了。其实快和慢是相对的，从技术角度来说，缓存之所以快是因为缓存是基于内存去建立的，而内存的读写速度比硬盘快很多倍，所以用内存来代替磁盘作为读写的介质自然能大大提高访问数据的速度。这个过程大致是这样的，通过在内存中存储被访问过的数据供后续访问时使用，以此来达到提速的效果。其实除此之外，缓存还有另外两个重要的运用方式：预读取和延迟写。三、预读取预读取就是预先读取将要载入的数据，也可以称作“预存预热”，它是在系统中先将硬盘中的一部分加载到内存中，然后再对外提供服务。为什么要这么做呢？因为有些系统一旦启动就要面临数以万计的请求进来，如果直接让这些请求打到...

2020-02-28

670

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。