fix: Goのinstallで本体チェックサムと間接依存を揃える

[owayo]

概要

Goプロジェクトで depup --install の後に go build が missing go.sum entry で失敗する問題を修正します。Goのinstallを go mod tidy に変更し、ソースに必要な go.mod と go.sum を揃えます。

Go 1.17以降、引数なしの go mod download はモジュール本体のハッシュを保存しません。download all でハッシュだけを追加しても、新版が必要とする間接依存のrequireが不足し得るため、tidyで両方を同期します。tidyによる未使用依存の削除、ディレクティブの変更、vendorの更新手順は英語・日本語の文書に記載しました。

検証

• ローカルのfile proxyと隔離したGoキャッシュを使う回帰テストを追加（外部通信・新しい依存の追加なし）。Goがない環境ではこのテストをスキップ。
• 修正前は新版の本体ハッシュの検証で失敗、修正後は成功。
• 旧downloadの成功だけではreadonly buildが失敗することを確認。
• install後の直接・間接依存の本体ハッシュとindirect requireを検証し、go build -mod=readonly ./... と go test -mod=readonly ./... が成功。
• make ci: fmt-check / clippy / 全テスト。
• ZIP fixtureの再生成で同一のバイト列になることを確認。
• astro-sightの影響・API・未使用シンボル検査とCodexの差分レビュー。

Closes #14

[coderabbitai]

Important

• 🔍 Trigger review

This repository does not receive automatic reviews because it has fewer than 10 stars.

⚙️ Run configuration

• Configuration used: defaults
• Review profile: CHILL
• Plan: Advanced
• Run ID: 5cbfe071-5d46-4677-9861-e14ba1040b8b

• Autopilot · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}