看似简单的编译(make)错误，往下查询竟然是 GOROOT 被污染
一、背景与报错信息
在执行 make 构建 Go 项目时，遇到如下报错：
看到这个报错信息（出现vendor）的时候就觉得很奇怪。项目本身是基于 Go Modules 构建的，本地 go 的版本也是1.22.x，并没有使用 vendor 机制，但奇怪的是编译器却去按理来说不应该存在的 vendor/ 目录下寻找依赖
二、问题排查与解决
1. 初步检查，看是否误用了 vendor
检查相关环境变量配置如下：
ini
GO111MODULE=on
GOPROXY=（脱敏处理）
GOPRIVATE=（脱敏处理）
GONOSUMDB=（脱敏处理）
GOSUMDB=off明确使用了 Go Modules 模式，不应该触发 vendor 机制
2. 执行 go clean -modcache + go mod tidy
尝试清空 mod 缓存并重新整理依赖：
go
go clean -modcache
go mod tidy操作后依赖全部重新拉取，但进行 make 时报错依旧
3. 确认是否存在 vendor/ 目录
执行：
bash
rm -rf vendor删除本地项目可能存在的 vendor 目录，确认无误后再次构建，依然报错，向下查，发现仍然指向 /usr/local/go/src/vendor 路径，这提示问题可能不在项目本身，而在 Go 安装目录（GOROOT）
4. go list 检查依赖路径定位报错的根本原因
执行：
go
go list -f '{{.ImportPath}} => {{.Dir}}' all | grep cryptobyte发现输出的目录如下：
javascript
vendor/golang.org/x/crypto/cryptobyte => /usr/local/go/src/vendor/golang.org/x/crypto/cryptobyte
vendor/golang.org/x/crypto/cryptobyte/asn1 => /usr/local/go/src/vendor/golang.org/x/crypto/cryptobyte/asn1进一步查看：
bash
ls -l /usr/local/go/src/vendor输出结果：
golang.org/
modules.txt确认是 GOROOT 的 vendor/ 目录 中残留了第三方依赖，导致 go build 时强制走 vendor 模式，无法通过 Go Modules 拉取正确的依赖版本
5.清理并修复 GOROOT
卸载并清空旧的 GOROOT，确保彻底删除所有遗留文件
bash
sudo rm -rf /usr/local/go重新安装 Go 最新版本，从官网下载并解压最新版 Go（1.24.4），安装到 /usr/local/go
返回项目根目录，重新拉取依赖，执行 make 命令，构建成功，问题解决！
此时已经可以make成功了，但是为了避免再出现这种情况，将该目录删除
bash
sudo rm -rf /usr/local/go/src/vendor再执行：
go
go list -f '{{.ImportPath}} => {{.Dir}}' all | grep cryptobyte
三、深入思考
思考一：为什么 GOROOT 会被污染？
在大多数日常开发中，GOROOT 是稳定的、由官方维护的"系统目录"，用户和工具理论上不应该去写入任何文件，但本次问题中 GOROOT 被污染，其实是一个不太常见但非常危险的问题。查询相关信息，发现常见的污染方式包括：
-
错误的构建脚本：某些脚本可能误将 vendor 目录复制到 /usr/local/go/src
-
误操作：开发者或管理员可能将项目文件写入 GOROOT
-
非官方 Go 安装包：如果使用了第三方安装包，可能附带了额外的 vendor 文件
-
IDE 或工具误写入：某些插件或构建工具可能意外将缓存写入 GOROOT
由于GOROOT 污染的影响具有 全局性和隐蔽性：一旦污染，即使在项目中使用的是 Go Modules，工具链可能依然优先查找 GOROOT/vendor，导致"脏路径"优先生效，表现为"明明依赖管理没问题，却莫名其妙报错"
思考二：为什么同事的 GOROOT 目录也被污染了，但是 make 却没有报错？
在同事的电脑上调用命令
go
go list -f '{{.ImportPath}} => {{.Dir}}' all | grep cryptobyte发现 GOROOT 下也存在这个 vendor 文件，存在被污染的情况，但是它的项目进行 make 的时候，并不会报错，可能原因有：
-
依赖缓存差异 ，同事的模块缓存可能包含正确依赖版本，绕过了污染路径
-
Go 的路径优先级策略导致查找分歧，Go 在构建过程中使用一个"层级路径查找"策略，如果路径结构、module 根目录、软链接存在差异，都可能影响依赖查找结果