Go原生支持HTTPS，http.Get等函数自动启用TLS验证并加载系统根证书；可自定义tls.Config跳过验证（仅测试）、加载私有CA证书或配置客户端证书实现mTLS。
Go语言原生支持HTTPS请求，只需使用net/http包即可发起安全的HTTP通信，无需额外配置证书——前提是目标服务器使用的是受信任CA签发的有效证书。
基础HTTPS请求：一行代码就能发
Go默认启用TLS验证，只要URL以https://开头，http.Get或http.Post会自动走TLS握手：
- 直接调用
http.Get("https://api.example.com")即可 - 底层自动加载系统根证书（Linux/macOS读
/etc/ssl/certs，Windows用系统证书存储） - 若证书有效且域名匹配，请求成功；否则返回
x509: certificate signed by unknown authority
自定义TLS配置：跳过验证（仅限测试）
开发或内网测试时，可能遇到自签名证书或域名不匹配。此时需手动构造http.Client并禁用证书校验——切勿在生产环境使用：
- 创建
tls.Config{InsecureSkipVerify: true} - 用该配置初始化
http.Transport，再注入到http.Client - 示例：
tr := &http.Transport{TLSClientConfig: &tls.Config{InsecureSkipVerify: true}}
信任私有CA：加载自定义根证书
企业内网常用私有CA签发证书。Go不自动读取Java或浏览器的证书库，需显式加载：
立即学习“go语言免费学习笔记（深入）”；
- 用
crypto/tls读取PEM格式的CA证书文件 - 调用
roots.AppendCertsFromPEM()添加到证书池 - 将该证书池赋给
tls.Config.RootCAs，再传入http.Transport - 这样既能验证证书，又信任你的内部CA
客户端证书认证：双向TLS（mTLS）
某些API要求客户端也提供证书（如金融、IoT平台）。Go通过tls.Config.Certificates支持：
- 用
tls.LoadX509KeyPair("client.crt", "client.key")加载客户端证书和私钥 - 将返回的
tls.Certificate放入Certificates切片 - 服务端会校验该证书是否在其信任列表中
- 注意：私钥文件必须是PEM编码，且权限应设为
0600
基本上就这些。Go的HTTPS实现简洁但严谨，安全边界清晰——默认安全，定制灵活，出错明确。关键在于理解证书验证链条，而不是绕过它。
