Go 启动 HTTPS 服务需用 http.ListenAndServeTLS 并提供 PEM 格式 cert.pem 和 key.pem，私钥不可加密，证书须含完整链；定制 TLS 需配置 http.Server.TLSConfig；自签名证书需手动信任；HTTP 跳转 HTTPS 应检查 X-Forwarded-Proto 防循环。
Go 语言启动 HTTPS 服务不需要第三方库，net/http 原生支持，但必须同时提供有效的 cert.pem 和 key.pem 文件，否则会 panic 并报错 http: TLS handshake error 或直接退出。
怎么用 http.ListenAndServeTLS 启动 HTTPS 服务
这是最直接的方式，Go 标准库只认 PEM 格式的证书和私钥，且要求私钥不能带密码保护（否则会卡在读取阶段）。
-
cert.pem必须包含完整证书链（服务器证书 + 中间 CA），否则某些客户端（如 iOS、curl 默认配置）会验证失败 -
key.pem必须是 RSA 或 ECDSA 私钥，且权限建议设为0600（尤其在线上环境） - 端口必须显式指定，比如
":443"；如果想同时跑 HTTP 和 HTTPS，需另起 goroutine 调用http.ListenAndServe - 示例代码片段：
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("Hello over HTTPS"))
})
log.Fatal(http.ListenAndServeTLS(":443", "cert.pem", "key.pem", nil))
为什么 http.Server 的 TLSConfig 字段经常被忽略
直接用 ListenAndServeTLS 看似简单，但无法控制 TLS 版本、密钥交换算法或证书重协商行为。真正需要定制时，得用 http.Server 结构体手动配置。
-
TLSConfig必须在调用srv.ListenAndServeTLS前赋值，赋值后修改无效 - 常见定制点：
MinVersion: tls.VersionTLS12（禁用 TLS 1.0/1.1）、CurvePreferences: []tls.CurveID{tls.CurveP256}（限制椭圆曲线） - 若证书是通配符或含多个 SAN，无需额外操作 — Go 的
crypto/tls会自动匹配ClientHello中的 SNI - 注意：设置
GetCertificate回调可实现动态证书加载（如 ACME 自动续期），但必须保证返回非 nil*tls.Certificate
本地开发时用自签名证书，但浏览器一直提示不安全怎么办
自签名证书本身没问题，问题出在客户端信任链缺失。Go 服务不关心你信不信，它只管按协议握手；但浏览器会拒绝建立连接，除非你手动把证书加进系统或浏览器根证书库。
立即学习“go语言免费学习笔记（深入）”；
- 生成自签名证书推荐用
openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365 -nodes - Chrome / Edge 在地址栏点“不安全” → “证书” → “详细信息” → “复制到文件” → 导入系统根证书存储（macOS 需拖进钥匙串并设为“始终信任”）
- curl 测试可用
curl -k https://localhost:443（跳过验证），但生产环境绝不能加-k - 更稳妥的本地方案是用
mkcert生成由本地 CA 签发的证书，它会自动把 CA 加进系统信任链
HTTP 自动跳转 HTTPS 时为什么容易 301 循环
常见错误是没判断好原始请求是否已走 TLS，尤其当服务前有反向代理（Nginx、ALB）时，r.TLS 恒为 nil，导致永远重定向。
- 正确做法是检查
r.Header.Get("X-Forwarded-Proto") == "https"（前提是代理透传了该头） - 或者统一让反代终止 SSL，并通过
X-Forwarded-For和X-Forwarded-Proto传递原始协议信息 - 硬编码 301 到
https://域名时，记得保留原始路径和查询参数：https://example.com" + r.URL.RequestURI() - 测试时用
curl -I http://localhost:8080看响应头是否含Location: https://...，避免前端 JS 或 HSTS 干扰判断
证书路径写错、私钥格式不对、SNI 不匹配、代理头未透传 —— 这些问题不会报具体原因，只会表现为连接重置或空响应。调试时优先用 openssl s_client -connect localhost:443 -servername example.com 看握手日志，比浏览器快得多。
