1. 導入：なぜバージョンの「取り消し」が必要なのか
Goでライブラリやモジュールを公開していると、リリース後に「重大なバグ」や「セキュリティ上の脆弱性」が見つかることがあります。一度リリースしたバージョンは、原則として削除したり書き換えたりすることができません。しかし、そのまま放置すると他の開発者が誤ってその不具合版を使用してしまいます。そこで重要になるのが「リトラクト（retract）」機能です。これを使うことで、エコシステム全体に対して「このバージョンは不具合があるから使わないでください」という意思表示を行うことができます。
2. 基礎知識：go.mod とは？
Goのモジュール管理において、go.mod ファイルはモジュールの依存関係を定義する中心的なファイルです。ここに記述されたバージョン情報は、世界中のGo開発者がライブラリをダウンロードする際の判断基準となります。通常はバージョン番号（v1.0.1など）を記述しますが、ここに「取り消し（retract）」の情報を書き加えることで、Goコマンドに対して「このバージョンは無効である」という情報を伝播させます。
3. 実装：go mod edit -retract の使い方
コマンドラインから簡単にこの設定を行うには、go mod edit -retract コマンドを使用します。手動でファイルに書き込むことも可能ですが、コマンドを使うことでフォーマットミスを防ぐことができます。
例えば、v1.0.1に致命的なバグが見つかった場合、ターミナルで以下のコマンドを実行します。
go mod edit -retract v1.0.1
このコマンドを実行すると、go.mod に「retract v1.0.1」という記述が追加されます。これにより、go get コマンドなどで依存関係を解決しようとする際、このバージョンが自動的に回避されるようになります。
4. サンプルプログラム：記述後の go.mod ファイル
実際にコマンドを実行した後の go.mod ファイルは以下のようになります。
// go.mod の記述例
module github.com/yourname/your-module
go 1.21
// 以下の記述が go mod edit -retract によって追加されます
retract (
// バグが見つかったバージョンを明示的に指定
v1.0.1
// 複数のバージョンを取り消すことも可能です
v1.0.0
)
※ コメントを添えて「なぜ取り消したのか」の理由を書いておくと、利用者にとって非常に親切です。
5. 応用・注意点：現場で陥りやすいポイント
・一度公開したバージョンは消せないという原則を守る
前述の通り、Gitのタグ自体を削除する行為は、すでにそのバージョンを依存関係に入れているユーザーのビルドを破壊する可能性があるため避けるべきです。リトラクトは「バージョンは残しつつ、実質的に無効化する」という、コミュニティにとって最も安全な解決策です。
・取り消した後は新しいバージョンを出す
リトラクトはあくまで「注意喚起」です。利用者は新しいバージョンが必要になりますので、バグを修正した v1.0.2 をすぐにリリースし、そちらを使ってもらうように促しましょう。
・エコシステムへの伝播には時間がかかる
リトラクト情報はプロキシ（proxy.golang.org）を経由して世界中に伝わります。設定直後に即時反映されない場合もありますが、数分から数十分待てば確実に伝播します。
開発エコシステムを壊さないための「マナー」として、この機能をぜひ覚えておいてください。
コメント