Go 的 http.Server 通过 ListenAndServeTLS 启动 HTTPS，需显式提供 PEM 格式证书和私钥；不支持自动 HTTPS，TLS 配置须提前设置，HTTP 跳转需安全构造 URL，自签名证书须含 SAN 并手动信任。
Go 的 http.Server 本身不区分 HTTP/HTTPS，HTTPS 是靠 TLS 层实现的——你得自己加载证书、传给 ListenAndServeTLS，而不是改个配置开关就能开。
用 ListenAndServeTLS 启动 HTTPS 服务
Go 标准库没有内置证书生成或自动 HTTPS（比如 Let’s Encrypt 集成），必须显式提供证书文件路径。最简启动方式是：
srv := &http.Server{
Addr: ":443",
Handler: myHandler,
}
log.Fatal(srv.ListenAndServeTLS("server.crt", "server.key"))
注意两点：ListenAndServeTLS 会阻塞，且它内部调用的是 net/http.(*Server).Serve + tls.Listen，不是在普通 listener 上“升级”协议。
- 证书和私钥必须是 PEM 格式；
server.crt可以包含中间证书（按顺序拼在一起），但不能含密码保护的私钥 - 端口必须匹配：如果用
:443，系统通常要求 root 权限；开发时建议先用:8443 - 别用
http.ListenAndServe加http.Redirect模拟 HTTPS——那只是跳转，不加密通信
http.Server.TLSConfig 什么时候要手动设
默认情况下 ListenAndServeTLS 会创建一个基础 *tls.Config，但如果你需要控制 TLS 版本、密钥交换算法或客户端证书验证，就得自己构造并赋值给 srv.TLSConfig：
立即学习“go语言免费学习笔记（深入）”；
srv.TLSConfig = &tls.Config{
MinVersion: tls.VersionTLS12,
CurvePreferences: []tls.CurveID{tls.CurveP256},
ClientAuth: tls.RequireAndVerifyClientCert,
ClientCAs: clientCA,
}
常见踩坑点：
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 设了
ClientAuth却没配ClientCAs→ 连接直接被拒绝，错误日志里只显示 “tls: bad certificate”，不提示缺 CA - 把
MinVersion设成tls.VersionTLS13→ 老客户端（如某些 Android WebView）握手失败，且 Go 1.19 之前不支持 TLS 1.3 的完整协商 - 修改
TLSConfig必须在ListenAndServeTLS调用前完成，之后改无效
HTTP 自动跳转到 HTTPS 的安全写法
单独起一个 HTTP server 做 301 重定向是常规做法，但容易漏掉几个关键细节：
go http.ListenAndServe(":80", http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
http.Redirect(w, r, "https://"+r.Host+r.URL.String(), http.StatusMovedPermanently)
}))
问题在于：r.Host 可能被篡改（如恶意请求头），r.URL.String() 不保证含 query，且没处理非 ASCII 路径。
- 更稳妥的做法是用
r.URL.Scheme = "https"+r.URL.Host = "yourdomain.com"显式构造目标 URL - 如果域名有多个（比如带 www 和不带 www），跳转逻辑得统一入口，否则可能触发混合内容警告
- 别在 HTTPS server 里再做一次跳转（比如所有请求都 301 到自身）——这会造成循环重定向，浏览器报 ERR_TOO_MANY_REDIRECTS
本地开发用自签名证书怎么生成又不被浏览器拦
用 openssl 生成没问题，但 Chrome / Safari 对自签名证书越来越严格：必须带 SAN（Subject Alternative Name），且不能只用 CN。
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 \ -subj "/CN=localhost" -addext "subjectAltName = DNS:localhost,IP:127.0.0.1"
生成后，还需手动把 cert.pem 导入系统钥匙串（macOS）或受信任根证书（Windows），并标记为「始终信任」。否则即使 Go 服务跑起来，浏览器仍显示「您的连接不是私密连接」。
- 别用
crypto/tls包里的GenerateKeyPair示例代码——它生成的证书不含 SAN，现代浏览器直接拒收 - 开发时可临时用
curl --insecure测试，但别在测试脚本里加InsecureSkipVerify: true，那会掩盖真实 TLS 握手问题 - 若用 Docker，证书文件得挂载进容器，且路径要跟
ListenAndServeTLS参数一致；别忘了ca-certificates包是否已安装
真正麻烦的从来不是写几行 Go 启动 HTTPS，而是证书生命周期管理、多环境域名适配、以及 TLS 参数和客户端兼容性的交叉验证——这些没法靠一个 ListenAndServeTLS 调用绕过去。
