go中http.listenandservetls证书路径错误会panic，需确保certfile和keyfile为可读无密钥pem文件，san必须包含localhost及ip，测试时应单独配置tlsclientconfig而非全局跳过校验。
Go 里用 http.ListenAndServeTLS 启动 HTTPS 服务，证书路径填错会直接 panic
Go 的 TLS 启动函数对文件路径非常敏感，http.ListenAndServeTLS 要求两个参数：certFile 和 keyFile 必须是可读的 PEM 文件，且私钥不能加密（即不能带密码保护）。常见错误是传入了空路径、相对路径没对准工作目录，或把证书链和私钥内容混在同一个文件里但格式不标准。
- 启动前先用
file cert.pem和file key.pem确认文件类型，确保是PEM certificate和PEM private key - 避免用相对路径，建议用
filepath.Abs或硬编码绝对路径调试，比如/etc/tls/server.crt - 私钥如果被
openssl genrsa -aes256加密过，必须先用openssl rsa -in key_encrypted.pem -out key.pem解密 - 证书文件里如果包含中间 CA，要按“服务器证书 → 中间证书”顺序拼接，不能反过来，否则某些客户端（如 curl 7.68+）会校验失败
用 openssl req 生成 Go 开发用的自签名证书，CN 和 SAN 缺一不可
浏览器和现代 Go 客户端（如 http.Client）默认拒绝只含 CN 的证书，必须提供 subjectAltName（SAN）。否则访问 https://localhost:8080 会报 x509: certificate is valid for XXX, not localhost。
- 生成前准备一个配置文件
localhost.conf，关键段落：subjectAltName = DNS:localhost,IP:127.0.0.1 [req] req_extensions = req_ext [req_ext] subjectAltName = DNS:localhost,IP:127.0.0.1
- 执行命令：
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365 -nodes -config localhost.conf -subj "/CN=localhost" - 不要省略
-nodes（no DES），否则私钥带密码，Go 无法加载 - 如果想支持
127.0.0.1和::1，SAN 里补上IP:::1，注意 OpenSSL 版本需 ≥1.1.1 才识别 IPv6 地址字面量
Go 单元测试里用 httptest.NewUnstartedServer + 自签名证书，绕过证书校验要谨慎
测试 HTTPS handler 时，若用 httptest.NewUnstartedServer 配合自签名证书，客户端默认会因证书不可信而失败。常见做法是设置 http.DefaultTransport.(*http.Transport).TLSClientConfig.InsecureSkipVerify = true，但这会全局关闭校验，影响后续测试。
- 正确做法：为每个测试 client 单独配置 transport，比如：
client := &http.Client{ Transport: &http.Transport{ TLSClientConfig: &tls.Config{InsecureSkipVerify: true}, }, } - 更安全的做法是把测试证书加入 client 的
RootCAs，用crypto/x509解析cert.pem后添加进tls.Config.RootCAs - 注意：
InsecureSkipVerify: true仅用于本地开发/测试，CI 或集成环境应禁用 - 如果测试中启用了 HTTP/2，还需确保
http.Server.TLSConfig.NextProtos包含"h2"，否则 Go client 可能降级到 HTTP/1.1 并报错
开发环境证书自动更新时，http.Server 的 TLSConfig.GetCertificate 比重启进程更可靠
开发中常希望证书更新后服务不用重启，但直接改 cert.pem 文件内容，已启动的 http.Server 不会感知——它只在启动时读一次文件。强行 reload 文件会导致连接中断或 TLS 握手失败。
立即学习“go语言免费学习笔记（深入）”；
- 用
TLSConfig.GetCertificate回调函数，在每次 TLS 握手时动态读取并解析证书，例如：srv.TLSConfig = &tls.Config{ GetCertificate: func(hello *tls.ClientHelloInfo) (*tls.Certificate, error) { return tls.LoadX509KeyPair("cert.pem", "key.pem") }, } - 注意
tls.LoadX509KeyPair是同步阻塞调用，频繁读磁盘会影响性能；生产环境建议加缓存 + 文件监听（如fsnotify） - 该方式不适用于
http.ListenAndServeTLS，必须用http.Server.Serve+tls.Listener显式启动 - 如果证书文件正在被其他进程写入（如 certbot 更新），读取可能失败，需加
os.IsNotExist和重试逻辑
证书不是配完就完的事，尤其是开发阶段频繁换环境、切域名、跑测试时，路径、SAN、加载时机这三处最容易卡住人几小时。
