http.ListenAndServeTLS(addr, certFile, keyFile, handler) 是最简HTTPS启动方式，需 PEM 格式证书链与无密码私钥，参数顺序不可错；自动续期推荐 autocert 并持久化 Cache；本地开发用 mkcert 生成系统信任证书。
Go 的 http.ListenAndServeTLS 怎么用
直接调用 http.ListenAndServeTLS 是最简方式，但它要求你已有 PEM 格式的证书和私钥文件，且必须是明确路径（不支持嵌入或动态加载）。
常见错误是传错参数顺序：ListenAndServeTLS(addr, certFile, keyFile, handler) —— 第二个参数是证书（cert.pem），第三个才是私钥（key.pem），反了会报 tls: failed to find any PEM data in certificate input 或 crypto/tls: failed to parse private key。
- 证书文件需包含完整的证书链（如含中间 CA），否则某些客户端（特别是 iOS、Java）会校验失败
- 私钥不能带密码保护；若已加密，先用
openssl rsa -in key.pem.enc -out key.pem解密 - 端口通常为
":443"，但开发时常用":8443"避免 sudo 权限
证书从 Let’s Encrypt 自动获取并热更新
硬编码证书路径无法应对自动续期，推荐用 autocert 包（golang.org/x/crypto/acme/autocert），它内置 HTTP-01 挑战支持，但仅适用于公网可访问的域名。
关键点：它需要一个 autocert.Manager，其中 Cache 必须实现持久化（默认内存缓存重启即丢，会导致频繁申请被限流）；建议用 autocert.DirCache("/var/www/.cache")。
立即学习“go语言免费学习笔记（深入）”；
- HTTP 端口
":80"必须开放，用于 ACME 回调验证（即使只跑 HTTPS 服务） -
Prompt字段不能为nil，否则启动报acme: unacceptable prompt；应设为autocert.AcceptTOS - 本地开发想跳过验证？设
HostPolicy: autocert.HostWhitelist("localhost")不起作用 —— Let’s Encrypt 明确拒绝localhost，得换tinyca或mkcert生成自签名证书
用 mkcert 生成本地可信 HTTPS 证书
开发调试时，浏览器对自签名证书会显示“不安全”，而 mkcert 可生成被系统根信任的本地证书，无需手动导入。
步骤：安装 mkcert → 运行 mkcert -install → 生成证书：mkcert example.test（输出 example.test.pem 和 example.test-key.pem）→ 在 Go 中加载：
srv := &http.Server{
Addr: ":8443",
Handler: myHandler,
TLSConfig: &tls.Config{MinVersion: tls.VersionTLS12},
}
log.Fatal(srv.ListenAndServeTLS("example.test.pem", "example.test-key.pem"))
- 生成的域名需在
/etc/hosts中映射到127.0.0.1，否则浏览器拒绝连接 - 证书有效期默认 1 年，到期前需重新生成；
mkcert不提供自动轮换机制 - 别把生成的根证书（
$(mkcert -CAROOT)/rootCA.pem）提交到 Git，它等同于 CA 私钥
HTTP 自动跳转 HTTPS 的陷阱
单纯监听 ":80" 并返回 301，看似简单，但容易忽略几个边界：
- 如果用户请求的是
http://example.com/api/v1，301 应跳转到https://example.com/api/v1，不是硬编码首页；要用r.URL.Scheme = "https"+r.URL.String()构造目标 URL - 反向代理（如 Nginx）后端是 HTTP 时，
r.TLS为nil，但实际已是 HTTPS 流量；此时需检查X-Forwarded-Proto: https头，否则会无限重定向 - Let’s Encrypt 的 HTTP-01 挑战请求必须原样透传，不能被 301 拦截，否则续期失败；
autocert内部已处理，但自写跳转逻辑需排除/.well-known/acme-challenge/路径
证书链完整性、私钥格式、自动续期的持久化、本地开发的信任链 —— 这些地方出问题，往往表现为“页面空白”“ERR_SSL_PROTOCOL_ERROR”或“证书不受信任”，而不是清晰的错误日志。
