Go TLS连接报x509: certificate has expired怎么办
直接跳过证书过期校验是常见做法，但不是默认行为——http.DefaultTransport 会严格执行证书链验证，过期即报错 x509: certificate has expired。
典型场景：测试环境用自签证书、内网服务证书未及时更新、时间不同步的嵌入式设备发起请求。
- 别改系统时间来“修复”，这会影响其他服务（比如JWT签名校验、gRPC时间戳）
- 不要全局替换
http.DefaultTransport，除非你清楚所有HTTP客户端都会走它 - 真正该做的是为特定请求定制
http.Transport，并重写TLSClientConfig.VerifyPeerCertificate或更简单的InsecureSkipVerify = true
示例：
tr := &http.Transport{
TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}
client := &http.Client{Transport: tr}
resp, err := client.Get("https://example.com")
为什么InsecureSkipVerify = true不总管用
因为 Go 1.19+ 对 InsecureSkipVerify 做了限制：如果设置了 ServerName 且不匹配，即使跳过验证也会在握手阶段失败；某些中间件（如 Istio mTLS）还会在 TCP 层就拦截。
立即学习“go语言免费学习笔记（深入）”；
- 确认是否真走到 TLS 握手：加
log.SetFlags(log.Lshortfile)+ 捕获net/http底层错误，看是tls: first record does not look like a TLS handshake还是x509类错误 - 检查
tls.Config.ServerName是否为空——http.Client默认会把 URL Host 赋给它，若服务端证书没覆盖该域名，InsecureSkipVerify也救不了 - 某些私有 CA 证书虽过期，但根证书仍有效；这时应换用
RootCAs+ 自定义VerifyPeerCertificate函数，只忽略过期检查，保留域名和签名验证
如何安全地绕过证书过期但保留其他校验
核心是接管证书验证逻辑，而不是全盘关闭——只屏蔽 NotAfter 时间检查，其余照常。
- 先用
crypto/x509加载系统或自定义根证书池：rootCAs := x509.NewCertPool() - 在
tls.Config.VerifyPeerCertificate中遍历certs[0].NotAfter，若过期则返回nil（允许继续），否则调用原始验证逻辑 - 注意：必须保留对
certs[0].VerifyOptions的构造，否则域名校验失效
简略示意：
tlsConfig := &tls.Config{
RootCAs: rootCAs,
VerifyPeerCertificate: func(certs []*x509.Certificate, _ [][]*x509.Certificate) error {
if len(certs) == 0 {
return errors.New("no server certificate")
}
now := time.Now()
if certs[0].NotAfter.Before(now) {
// 只忽略过期，其他错误仍上报
return nil
}
// 其他校验委托给默认逻辑
opts := x509.VerifyOptions{Roots: rootCAs, CurrentTime: now}
_, err := certs[0].Verify(opts)
return err
},
}
Go 1.21+ 中 http.Client 的 Timeout 与 TLS 握手超时关系
证书过期错误本身不触发超时，但若服务端因证书问题拒绝握手（比如 Nginx 配置了 ssl_verify_client on 却没发客户端证书），连接会卡在 TLS 握手，最终由 http.Client.Timeout 或 http.Transport.DialContext 控制。
-
http.Client.Timeout是整个请求生命周期上限，包含 DNS、连接、TLS 握手、发送、接收——它不会单独针对证书错误提前退出 - 想快速失败？设置
http.Transport.TLSHandshakeTimeout，单位秒，例如10 * time.Second - 注意：这个字段在 Go 1.22 被标记为 deprecated，推荐用
http.Transport.DialContext+context.WithTimeout替代
容易被忽略的一点：证书错误日志可能被吞掉。开启 GODEBUG=http2debug=2 或捕获 http.Transport.ResponseHeaderTimeout 错误，才能区分是网络问题还是证书问题。
