生产环境必须由统一可信CA签发证书，禁用手动生成私钥+CSR；mTLS需HTTP与gRPC分别正确配置双向认证，证书轮换须重建服务或连接池，调试需启用详细日志及手动验证。
证书签发与分发必须由可信 CA 控制，不能手动生成
服务启动时自己生成私钥+CSR再找 CA 签，看似自动，实则绕过信任链、无法吊销、密钥生命周期失控。生产环境必须用统一 CA（如 Vault PKI、Step CA 或自建 OpenSSL CA），所有服务只持有私钥和终端证书，CA 私钥离线保管。
常见错误现象：tls: failed to verify certificate: x509: certificate signed by unknown authority——根本原因是客户端没加载 CA 根证书，或服务端证书不是该 CA 签发的。
- 服务启动前，通过 API（如 Vault
/pki/issue/example-dot-com）或本地命令（step ca sign）获取证书+私钥，不硬编码路径 - 证书有效期建议设为 24h～72h，配合自动轮换逻辑，避免长期有效证书泄露后难以处置
- 私钥文件权限必须是
0600，否则 Go 的tls.LoadX509KeyPair会静默失败或报crypto/tls: failed to parse key
Go 的 http.Server 和 grpc.Server 需分别配置 mTLS
HTTP 服务开启双向验证靠 tls.Config.ClientAuth，gRPC 则依赖 credentials.TransportCredentials 包装后的 TLS 配置，二者参数语义不同，混用会单向认证成功但对端不校验客户端证书。
使用场景：内部微服务间调用，既要求服务端身份可信，也要求调用方是已知服务（如 orders 只接受来自 payment 的请求）。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- HTTP 侧关键设置：
ClientAuth: tls.RequireAndVerifyClientCert+ClientCAs: caPool（caPool是含根 CA 的*x509.CertPool） - gRPC 侧必须用
credentials.NewTLS构造凭证，且服务端ServerOption和客户端DialOption都要传入对应配置，缺一不可 - 若用
http.RoundTripper调用其他 mTLS 服务，需显式设置TLSClientConfig并加载自己的证书+私钥+CA，否则报remote error: tls: bad certificate
证书自动轮换不能只 reload Server，要兼顾长连接与连接池
单纯监听文件变化、重新调用 srv.TLSConfig.SetCertificates 只影响新连接；已有 HTTP 连接、gRPC stream、复用的 TCP 连接仍用旧证书，直到超时或关闭。客户端若校验证书有效期，可能在轮换后立即拒绝通信。
性能影响：频繁 reload 证书不触发 GC 压力，但每次新建 *tls.Config 会复制证书链，高并发下注意对象分配。
- HTTP 服务推荐用
http.Server.Close+ 新启 goroutine 启动新 server，配合sync.RWMutex控制活跃 server 引用 - gRPC 没有优雅 reload 接口，必须重建
*grpc.Server，并确保旧 server 调用GracefulStop等待 stream 结束 - 客户端连接池（如
http.Client.Transport）需在证书更新后主动CloseIdleConnections，否则复用旧连接导致认证失败
调试阶段务必开启详细日志，否则 TLS 握手失败无明确提示
Go 默认不输出 TLS 握手细节，tls: first record does not look like a TLS handshake 这类错误往往只是表面现象，真实原因是证书格式错误、SNI 不匹配、或客户端根本没发证书。
容易被忽略的地方：服务端日志里看不到客户端证书内容，必须在 VerifyPeerCertificate 回调里手动打日志，且该回调在 ClientAuth 为 VerifyClientCertIfGiven 时可能不执行。
- 启用
log.SetFlags(log.Lshortfile)并在tls.Config.VerifyPeerCertificate中打印cert.Subject.CommonName和cert.NotAfter - 用
openssl s_client -connect host:port -servername example.com -cert client.crt -key client.key -CAfile ca.crt手动验证握手流程 - Wireshark 抓包看 ClientHello 是否携带
certificate消息，确认客户端是否真发了证书
