go mod tidy 不会升级模块版本，只收敛依赖：删除未使用、补充缺失、拉取 go.mod 或 go.sum 中声明的版本；升级需显式执行 go get。

go mod tidy 不会自动升级模块版本，它只做依赖收敛：删掉未使用的、补上缺失的、拉取当前 go.sum 记录或 go.mod 中声明的版本——哪怕那些版本早已过时。

什么时候该用 go mod tidy

你改了代码，新增了 import "github.com/sirupsen/logrus" 但没手动加依赖？或者删掉了某段引用第三方包的代码，想清理掉残留的 require 行？这时运行 go mod tidy 才有意义。

• 它不会升级已有依赖的版本，哪怕 github.com/sirupsen/logrus v1.9.0 已发布，而你 go.mod 里写的是 v1.8.1，tidy 也纹丝不动
• 它默认不触碰 replace 和 exclude 指令，除非你加 -compat=1.17 这类参数（极少需要）
• 如果项目里有 //go:embed 或 //go:generate，tidy 可能漏判依赖，得配合 go list -deps -f '{{.ImportPath}}' . 手动核对

如何真正升级一个模块版本

升级必须显式触发，Go 没有类似 npm update 的全自动语义化升级命令。最稳妥的方式是用 go get 加具体版本号：

go get github.com/sirupsen/logrus@v1.9.0

也可以省略版本号，让 Go 自动选最新 tagged 版本：

go get github.com/sirupsen/logrus

但要注意：

• 不带 @ 时，Go 优先选满足当前主版本兼容性的最新版（如你原来用 v1.8.1，它不会升到 v2.0.0，因为 v2 需要路径含 /v2）
• 如果想强制升级到主版本不兼容的新版（比如从 v1.9.0 升到 v2.0.0），必须写全路径：go get github.com/sirupsen/logrus/v2@v2.0.0
• go get 后建议立刻跟一次 go mod tidy，确保 go.sum 更新且无冗余项

批量升级所有依赖到最新兼容版

没有官方“一键全升”命令，但可以用 go list + xargs 组合实现（仅限 Unix-like 系统）：

go list -m -u all | awk '{if (NF==3) print $1 "@" $3}' | xargs -r go get

这条命令的含义是：

• go list -m -u all 列出所有可升级的模块（含当前版本与最新版）
• awk 提取出模块路径和新版号，拼成 pkg@version 格式
• xargs go get 批量执行升级

⚠️ 风险提示：批量升级极易引发编译失败或运行时行为变更。生产项目务必在 CI 中验证，且建议逐个升级、逐个测试。

为什么 go.mod 里的 indirect 依赖总在变

indirect 标记表示该模块不是你直接 import 的，而是被其他依赖“带进来”的。它的版本变动通常源于：

• 你升级了某个直接依赖，它内部换了新版本的子依赖
• 你运行了 go get，而目标模块的 go.mod 里声明了不同版本的间接依赖
• 你本地 GO111MODULE=on 但 GOPROXY 配置不一致，导致不同机器解析出不同版本

不要手动删 indirect 行——go mod tidy 会按需维护它。若想锁定某 indirect 包的版本，可显式 go get 它，它就会从 indirect 变成直接 require。

模块版本管理真正的复杂点不在命令本身，而在理解「谁声明了版本」「谁实际使用了它」「升级后是否破坏隐式接口」。很多人卡在 go mod tidy 没反应，其实是误以为它该升级——它只整理，不决策。