Go语言通过crypto/tls和net/http包简化HTTPS配置，服务端使用ListenAndServeTLS加载证书和私钥，并通过TLSConfig设置安全策略；客户端可跳过验证用于测试，或添加自定义CA实现信任控制，推荐生产环境使用正规CA签发证书以确保安全。
Go语言处理HTTPS证书和加密非常直接，主要依赖标准库中的 crypto/tls 和 net/http 包。无论是作为客户端发起HTTPS请求，还是作为服务端提供HTTPS服务，Golang都提供了灵活且安全的配置方式。
配置HTTPS服务端
使用 net/http 结合 tls.Config 可以快速启动一个支持HTTPS的服务。你需要准备服务器证书（.crt）和私钥（.key）文件。
注意：私钥必须严格保密，不能泄露。示例代码：
package main
import (
"net/http"
"crypto/tls"
)
func main() {
mux := http.NewServeMux()
mux.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("Hello HTTPS!"))
})
server := &http.Server{
Addr: ":443",
Handler: mux,
TLSConfig: &tls.Config{
MinVersion: tls.VersionTLS12, // 禁用旧版本
CipherSuites: []uint16{
tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
},
},
}
// 使用证书和私钥启动服务
server.ListenAndServeTLS("server.crt", "server.key")
}
关键点：
立即学习“go语言免费学习笔记（深入）”；
- 使用 ListenAndServeTLS 加载证书和私钥
- 通过 TLSConfig 强化安全策略，如限制最低版本、指定加密套件
- 推荐使用 Let's Encrypt 或企业级CA签发的证书
客户端跳过证书验证（仅测试用）
在开发或测试环境中，可能需要访问自签名证书的HTTPS服务。此时可临时跳过证书校验，但禁止在生产环境使用。
示例：
tr := &http.Transport{
TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}
client := &http.Client{Transport: tr}
resp, err := client.Get("https://self-signed.example.com")
风险提示：开启 InsecureSkipVerify 会失去中间人攻击防护，仅用于调试。
客户端使用自定义CA证书
若服务端使用私有CA签发证书，客户端需将该CA加入信任列表。
示例：
caCert, err := ioutil.ReadFile("ca.crt")
if err != nil {
log.Fatal(err)
}
caPool := x509.NewCertPool()
caPool.AppendCertsFromPEM(caCert)
tr := &http.Transport{
TLSClientConfig: &tls.Config{
RootCAs: caPool,
},
}
client := &http.Client{Transport: tr}
这样客户端只会信任由指定CA签发的服务器证书，保障通信安全。
生成自签名证书（测试用途）
可用 openssl 快速生成测试证书：
openssl req -x509 -newkey rsa:4096 \
-keyout key.pem -out cert.pem \
-days 365 -nodes -subj "/CN=localhost"
生成的 cert.pem 和 key.pem 可用于本地HTTPS服务测试。
基本上就这些。Golang的标准库已经足够应对大多数HTTPS场景，关键是根据实际需求正确配置TLS选项，避免安全隐患。不复杂但容易忽略细节，比如版本控制和证书链验证。
