间接依赖是指项目未直接导入但被直接依赖库所使用的包。例如使用gin框架时，其依赖的ugorji/go/codec即为间接依赖。

在 Go 语言中，间接依赖（indirect dependency）指的是你的项目并没有直接导入某个包，但该包被你直接依赖的其他第三方库所使用，因此被自动引入到你的项目中的依赖包。

什么是间接依赖？

假设你在项目中使用了 github.com/gin-gonic/gin 这个 Web 框架。你在代码中 import 它，所以它是直接依赖。而 gin 内部可能使用了 github.com/ugorji/go/codec，你的项目代码里从没引用过它，但它出现在 文件中，标记为 // indirect，这就表示它是一个间接依赖。

例如，在 中你会看到：

module myproject  go 1.21  require (     github.com/gin-gonic/gin v1.9.1     github.com/ugorji/go/codec v1.2.7 // indirect ) 

这里的 就是间接依赖，由 引入，不是你主动使用的。

依图语音开放平台

依图语音开放平台

6

查看详情

立即学习“go语言免费学习笔记（深入）”；

间接依赖如何产生？

• 当你使用 添加一个直接依赖时，Go 工具链会递归拉取其所需的所有依赖，并记录在 中。
• 如果某个依赖包未被你的代码直接引用，但被其他依赖需要，Go 会在 中标注为 // indirect。
• 运行 也会清理或补充缺失的依赖，包括修正 indirect 标记。

为什么要关注 indirect 依赖？

• 安全风险：间接依赖可能包含漏洞，即使你没直接用它，只要它在依赖树中，就可能影响你的程序。
• 版本冲突：多个直接依赖可能引用同一个间接依赖的不同版本，Go 会自动选择兼容版本，但也可能导致意料之外的行为。
• 构建体积和性能：过多不必要的间接依赖会增加编译时间和二进制体积。

如何管理 indirect 依赖？

• 定期运行 go mod tidy：清理未使用的依赖（包括 indirect），确保 和 正确。
• 使用 go list 查看依赖树：
  可查看所有直接和间接模块。
  可提升该包版本，Go 会将其提升为直接依赖或更新现有 indirect 版本。
• 排除有问题的版本：
  在 中使用 语句阻止某些版本被拉入。

基本上就这些。间接依赖是现代包管理中的常见现象，Go 的模块系统能自动处理大部分问题，但开发者仍需保持对依赖树的关注，尤其是生产项目。定期检查、更新和精简依赖，有助于保障项目的稳定性与安全性。