Gin 通过 RunTLS 最简启动 HTTPS 服务，需 PEM 格式证书和私钥（无密码、权限 0600），或手动配置 http.Server 以自定义 TLS；HTTP 重定向需独立监听并 301 跳转，证书更新须重启。
Gin 本身不内置 HTTPS 服务，必须手动传入 http.Server 实例并配置 TLSConfig；直接调用 router.RunTLS() 是最简方式，但证书路径错误、私钥权限不当、或未处理 HTTP 重定向时，会静默失败或连接被拒绝。
用 RunTLS 启动 HTTPS 服务（最简可行路径）
RunTLS 封装了底层 http.Server 的 TLS 设置，适合开发和轻量部署。它要求两个参数：证书文件路径（通常是 cert.pem 或 fullchain.pem）和私钥文件路径（key.pem 或 privkey.pem）。
- 证书和私钥必须是 PEM 格式；若为 PFX/P12，需先用
openssl pkcs12 -in cert.pfx -clcerts -nokeys -out cert.pem和openssl pkcs12 -in cert.pfx -nocerts -nodes -out key.pem转换 - 私钥文件不能有密码保护，否则
RunTLS会 panic 并报错tls: failed to find any PEM data in certificate input - 路径必须是绝对路径或相对于当前工作目录的可读路径；常见坑是用
./certs/cert.pem但二进制在别处执行，导致open certs/cert.pem: no such file or directory - 示例：
r.RunTLS(":443", "./cert.pem", "./key.pem")—— 注意端口 443 需要 root 权限，开发建议先用:8443
手动配置 http.Server（可控性更强）
当需要自定义 TLS 参数（如强制 TLS 1.2+、禁用弱密码套件、启用客户端证书验证）时，必须绕过 RunTLS，自己构造 http.Server 并调用 srv.ListenAndServeTLS()。
-
TLSConfig.MinVersion至少设为tls.VersionTLS12，避免因默认值兼容旧协议引发安全警告 - 若证书链不完整（比如只给了域名证书，没给中间 CA），浏览器可能提示“NET::ERR_CERT_AUTHORITY_INVALID”，此时应合并证书为
fullchain.pem（域名证书 + 中间证书） - 私钥文件权限必须是
0600，Linux 下若为0644，Go 会拒绝加载并输出tls: private key does not match public key（实际是权限检查失败的误导信息） - 示例关键片段：
srv := &http.Server{ Addr: ":443", Handler: r, TLSConfig: &tls.Config{MinVersion: tls.VersionTLS12}, } srv.ListenAndServeTLS("./fullchain.pem", "./privkey.pem")
HTTP 自动跳转到 HTTPS（避免用户手输 http://）
Gin 不提供内置重定向中间件，必须自己监听 HTTP 端口并返回 301。注意不能在同一个 http.Server 上混用 HTTP 和 HTTPS；必须启两个独立服务。
立即学习“go语言免费学习笔记（深入）”；
- HTTP 服务只需响应
301 Moved Permanently，目标地址用https://+ 原始 Host + 请求路径，不要硬编码域名 - 若使用反向代理（如 Nginx），该跳转应由代理层完成，Gin 应只跑在 HTTPS 后端，否则会出现循环重定向
- 简单实现：
go func() { http.RedirectHandler("https://"+r.Host, http.StatusMovedPermanently).ServeHTTP(w, r) }()—— 但更稳妥的是显式构造重定向：http.Redirect(w, r, "https://"+r.Host+r.RequestURI, http.StatusMovedPermanently) - 务必限制 HTTP 服务只监听内网或关闭防火墙端口，否则暴露明文服务面
证书更新后必须重启服务（Gin 不支持热重载 TLS 证书），而生产环境通常依赖 systemd 或容器编排工具做滚动更新；另外，Let’s Encrypt 的 certbot 自动生成的证书路径常含时间戳或随机串，硬编码路径极易失效——建议用符号链接指向最新证书，如 /etc/ssl/myapp/cert.pem → /etc/letsencrypt/live/example.com/fullchain.pem。
