cmd/go: 恶意的 GOMODPROXY 会导致 golang.org/toolchain checksum 绕过

如果用户在一个恶意的 Go 项目中运行，该项目定义了自己的 go.sum，其中包含了一个针对 golang.org/toolchain 的虚假条目，那么一个恶意的 GOMODPROXY 可以协调并提供任意的 golang.org/toolchain，从而绕过预期的校验和。