Что такое go.mod и go.sum, зачем они нужны и как работает module resolution

1️⃣ Как кратко ответить

go.mod — это файл, который определяет модуль Go и его зависимости, включая их версии. go.sum — это файл, который хранит контрольные суммы для всех зависимостей, чтобы обеспечить их целостность и безопасность. Module resolution — это процесс, который управляет загрузкой и разрешением версий зависимостей, указанных в go.mod.

2️⃣ Подробное объяснение темы

Go-модули — это система управления зависимостями, которая позволяет разработчикам управлять версиями пакетов и их зависимостями. Она была введена в Go 1.11 и стала стандартом с версии Go 1.13. Основные компоненты этой системы — файлы go.mod и go.sum.

go.mod

Файл go.mod является основным файлом конфигурации для модуля Go. Он определяет модуль и его зависимости. Вот пример простого go.mod файла:

module example.com/my-module
​
go 1.18
​
require (
    github.com/some/dependency v1.2.3
    golang.org/x/tools v0.1.5
)

• module example.com/my-module: Определяет имя модуля. Это имя используется для идентификации модуля в экосистеме Go.
• go 1.18: Указывает минимальную версию Go, необходимую для работы с этим модулем.
• require: Список зависимостей, необходимых для работы модуля, с указанием их версий.

go.sum

Файл go.sum содержит контрольные суммы для всех зависимостей, указанных в go.mod. Эти контрольные суммы обеспечивают целостность и безопасность зависимостей, гарантируя, что загружаемые пакеты не были изменены. Пример go.sum:

github.com/some/dependency v1.2.3 h1:abcdef1234567890
github.com/some/dependency v1.2.3/go.mod h1:1234567890abcdef
golang.org/x/tools v0.1.5 h1:0987654321fedcba
golang.org/x/tools v0.1.5/go.mod h1:fedcba0987654321

• Каждая строка содержит имя пакета, его версию и контрольную сумму.
• Контрольные суммы генерируются автоматически при загрузке зависимостей.

Module Resolution

Module resolution — это процесс, который управляет загрузкой и разрешением версий зависимостей, указанных в go.mod. Он включает в себя:

1. Загрузка зависимостей: Когда вы выполняете команду go build, go test или go mod tidy, Go загружает все необходимые зависимости, указанные в go.mod.
2. Разрешение версий: Go выбирает подходящие версии зависимостей, основываясь на требованиях, указанных в require и replace директивах.
3. Проверка целостности: Go проверяет контрольные суммы в go.sum, чтобы убедиться, что загруженные зависимости не были изменены.

Пример использования

Предположим, у вас есть проект, который зависит от пакета github.com/some/dependency. Вы добавляете его в go.mod:

require github.com/some/dependency v1.2.3

Когда вы запускаете go build, Go:

• Проверяет, есть ли у вас уже загруженная версия v1.2.3 в вашем модульном кэше.
• Если нет, загружает пакет и его зависимости.
• Проверяет контрольные суммы в go.sum для обеспечения целостности.
• Компилирует ваш проект с использованием загруженных зависимостей.

Таким образом, go.mod и go.sum обеспечивают управление зависимостями, их версионирование и безопасность, что упрощает разработку и поддержку проектов на Go.