最直接方法是用 crypto/tls.dial 手动连接 443 端口，设置 insecureskipverify: true 和 servername，从 connectionstate().peercertificates[0] 获取叶证书，取 notafter 字段并用 time.until().hours()/24 向下取整算剩余天数。
用 crypto/tls 连接并获取证书链最直接
Go 没有内置“查域名 SSL 剩余天数”的函数，得自己连一次 443 端口、抓证书、解析时间。别想绕过 TLS 握手——net/http 的 DefaultTransport 默认会验证证书，但不暴露原始证书链；必须用 crypto/tls 手动建 tls.Dial 连接。
常见错误是直接用 http.Get 然后试图从 Response.TLS 取证书：它只在 HTTPS 请求成功后才非空，而一旦证书过期或域名不匹配，请求根本发不出去，Response 都不会返回。
- 务必用
tls.Dial("tcp", "example.com:443", &tls.Config{InsecureSkipVerify: true})——InsecureSkipVerify: true是为了绕过系统级校验，否则证书已过期时连接直接失败，拿不到证书内容 - 连接成功后，从
*tls.Conn的ConnectionState().PeerCertificates取证书切片，首项（[0]）是叶证书，也就是目标域名的证书 - 注意：SNI 必须显式设置，否则某些 CDN（如 Cloudflare）可能返回默认证书。在
tls.Config里加ServerName: "example.com"
x509.Certificate.NotAfter 是核心字段，但时区和精度要小心
证书有效期终点存在 NotAfter 字段，类型是 time.Time，看起来可以直接减法算天数。但有两个坑：
- Go 解析 X.509 证书时，
NotAfter是按 UTC 时间解析的，如果你本地时区是 CST，直接用time.Now()减会差 8 小时——结果可能少算或多算整整一天，尤其在临界日期（比如剩 1 天时凌晨检查） -
NotAfter的精度是秒级，而人类说“剩余天数”通常指“到今日 0 点为止还剩多少完整自然日”。所以推荐用time.Until(cert.NotAfter).Hours() / 24再向下取整，或者更稳妥地：先截断到当日 0 点再比 - 别忽略证书链中间件——有些站点返回的
PeerCertificates里首项是中间证书而非叶证书。正确做法是遍历证书链，找Subject.CommonName或DNSNames匹配目标域名的那个
超时和网络错误必须单独处理，不能和证书逻辑混在一起
写完逻辑后一跑就 panic，八成是没处理好连接层错误。TLS 握手失败原因很多：timeout、connection refused、no route to host、甚至 DNS 解析失败——这些和“证书过期”是完全不同的问题域，必须前置拦截。
立即学习“go语言免费学习笔记（深入）”；
-
tls.Dial返回的err如果是*net.OpError或*url.Error，说明根本没连上，此时不应尝试解析证书，应直接返回错误或跳过 - 建议设置明确超时：
ctx, cancel := context.WithTimeout(context.Background(), 5*time.Second)，然后用tls.DialContext替代tls.Dial - 证书解析本身也可能出错（比如格式损坏），
cert.Verify不是必须调用的，但cert.CheckSignatureFrom或手动验证签名链容易引入额外依赖和复杂度，初版建议跳过，只信PeerCertificates数组内容
批量检查时并发控制不当会导致被封或漏报
如果一次性对上百个域名做检查，用 go 启一堆协程看似快，实际容易触发目标服务器限流（尤其是 Cloudflare、阿里云 WAF），或者本机文件描述符耗尽（默认 ulimit 1024，每个 tls.Conn 占一个）。更隐蔽的问题是：没有等待所有 goroutine 结束就退出主程序，导致部分结果丢失。
- 用带缓冲的 channel 控制并发数，比如
sem := make(chan struct{}, 10)，每次进 goroutine 前sem ，结束后 <code> - 别用
for range直接启 goroutine，记得用sync.WaitGroup或errgroup.Group等待全部完成 - 某些域名（如
http://重定向到https://的）可能监听 443 但不响应 TLS 握手，表现为长时间无响应——必须靠上下文超时兜底，不能靠select+time.After模拟
真正麻烦的不是代码几行，而是证书链是否完整、SNI 是否匹配、时区是否统一、以及网络层错误如何归类——这些细节不提前想清楚，跑几天才发现 30% 的域名结果不准，就得全盘重理逻辑。
