go 的 http.listenandservetls 必须同时提供 pem 格式的完整证书链（如 fullchain.pem）和未加密私钥（如 privkey.pem），不支持系统证书存储或 pkcs#12；windows 路径需用正斜杠或原始字符串；本地调试需在证书中显式添加 localhost 等 san；http/2 默认启用但依赖证书合法性与 tls 1.2+。
Go 的 http.ListenAndServeTLS 必须同时提供证书和私钥文件
Go 原生不支持从系统证书存储或 PKCS#12（.pfx/.p12）直接加载，http.ListenAndServeTLS 要求两个独立的 PEM 格式文件：cert.pem（含完整证书链）和 key.pem（未加密的私钥）。常见错误是只传了域名证书、漏掉中间 CA，导致浏览器提示“NET::ERR_CERT_AUTHORITY_INVALID”。
实操建议：
- 用
openssl verify -CAfile fullchain.pem cert.pem验证证书链完整性 - 私钥不能有密码保护，否则会报错
tls: failed to find any PEM data in certificate input或crypto/tls: private key does not match public key - 若使用 Let’s Encrypt，推荐直接取
fullchain.pem+privkey.pem，不要只用cert.pem
证书路径在 Windows 上要注意反斜杠与转义
Go 字符串中 \ 是转义符，Windows 路径如 C:\certs\cert.pem 会被解析成非法控制字符。直接写会导致 open C:certscert.pem: The system cannot find the path specified。
正确做法只有两种：
立即学习“go语言免费学习笔记（深入）”；
- 用正斜杠：
"C:/certs/cert.pem" - 用原始字符串字面量：
`C:\certs\cert.pem`
混用（如 "C:\certs\cert.pem"）一定失败，且错误信息不提示路径问题，容易误判为权限或文件不存在。
开发时用 crypto/tls 生成自签名证书要匹配 Common Name 或 SAN
浏览器对 localhost 不再无条件信任自签名证书。若服务跑在 localhost:8443，但证书的 CommonName 是 example.com，Chrome 会拒绝连接并显示 ERR_CERT_COMMON_NAME_INVALID。
生成时必须显式设置：
-
Subject.CommonName = "localhost"（仅兼容老客户端） - 更可靠的是加
DNSNames: []string{"localhost"}到x509.Certificate - 若需支持 IP 访问（如
https://127.0.0.1:8443），还需添加IPAddresses: []net.IP{net.ParseIP("127.0.0.1")}
漏掉 SAN 是本地调试 HTTPS 最常被忽略的点。
HTTP/2 在 Go 中默认启用，但依赖 ALPN 和证书合法性
Go 1.6+ 的 http.Server 只要用了 ListenAndServeTLS 就自动协商 HTTP/2 —— 无需额外配置。但前提是：
- TLS 版本 ≥ 1.2（Go 默认满足）
- 证书未过期、域名匹配、链完整
- 客户端（如 curl、Chrome）支持 ALPN 并声明
h2
若实际走的还是 HTTP/1.1，先用 curl -I --http2 https://localhost:8443 看响应头是否含 HTTP/2 200；如果失败，大概率是证书问题，不是代码没开开关。
