http.ListenAndServeTLS 的证书路径必须为绝对路径，相对路径易因工作目录不同导致文件未找到；私钥不可加密、需 0600 权限；certFile 应含服务器证书与中间链拼接的 fullchain.pem。
用 http.ListenAndServeTLS 启动 HTTPS 服务时证书路径必须是绝对路径
Go 的 http.ListenAndServeTLS 不会自动解析相对路径，传入的 certFile 和 keyFile 如果是相对路径（比如 "./cert.pem"），在工作目录不一致时会直接报错 open ./cert.pem: no such file or directory。
实操建议：
- 启动前用
filepath.Abs转成绝对路径，避免依赖当前工作目录 - 证书和私钥文件需具备进程可读权限（尤其在 Linux systemd 服务中常因权限被拒）
- 私钥不能带密码保护——Go 标准库不支持加载加密的 PEM 私钥，否则会静默失败或报
tls: failed to find any PEM data in certificate input
package main
import (
"log"
"net/http"
"path/filepath"
)
func main() {
certPath, _ := filepath.Abs("./cert.pem")
keyPath, _ := filepath.Abs("./key.pem")
log.Println("Starting HTTPS server on :443")
log.Fatal(http.ListenAndServeTLS(":443", certPath, keyPath, nil))
}
自签名证书在开发环境够用，但浏览器会拦截，需手动信任
开发阶段用 openssl 生成自签名证书最常见，但现代浏览器（Chrome/Firefox/Safari）默认拒绝连接，显示 NET::ERR_CERT_AUTHORITY_INVALID。
关键点：
立即学习“go语言免费学习笔记（深入）”；
- 生成时必须指定
-subj并确保CN匹配你访问的域名（如CN=localhost），否则 TLS 握手会因 SNI 或证书主题不匹配失败 -
macOS 需双击
.crt文件 → 添加到“钥匙串访问”→ 右键证书 → “显示简介” → 展开“信任”→ 将“使用此证书时”设为“始终信任” - Linux 命令行调试可用
curl --insecure（跳过验证）或curl --cacert ./cert.pem（显式信任）
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -subj "/CN=localhost"
使用 Let's Encrypt 证书需配合 ACME 客户端，不能直接丢进 ListenAndServeTLS
Let's Encrypt 签发的证书是分段的：域名证书 + 中间 CA 证书（fullchain.pem），而 Go 的 ListenAndServeTLS 要求 certFile 必须包含**服务器证书 + 所有中间证书**（按顺序拼接），不能只传 cert.pem。
常见错误：
- 只传
cert.pem→ 浏览器提示“您的连接不是私密连接”，因为缺少中间链 - 用
acme.sh或certbot获取后，应把fullchain.pem当作certFile，privkey.pem当作keyFile - 证书有效期仅 90 天，务必配置自动续期脚本，并 reload Go 进程（无法热更新证书，需重启或用
net.Listener+tls.Config.GetCertificate动态加载）
生产环境别硬编码证书路径，用环境变量或 flag 控制
硬编码路径（如 "./prod/cert.pem"）会让二进制难以迁移。更稳妥的方式是通过启动参数或环境变量注入：
- 用
flag.String定义--tls-cert和--tls-key，启动时指定 - 或读取
os.Getenv("TLS_CERT")，便于容器化部署（如 Docker run -e TLS_CERT=/etc/tls/cert.pem） - 启动前校验文件是否存在、是否可读，避免运行时报错崩溃
- 若用 systemd，注意
WorkingDirectory默认是/，证书路径必须写全，且User需有读取权限
证书加载逻辑里最容易被忽略的是：私钥文件权限必须是 0600（仅属主可读写），否则某些系统（如 macOS）的 TLS 库会拒绝加载并静默失败。
