Go标准库完全支持用crypto/tls和crypto/x509生成自签名证书，无需openssl；核心是构造x509.Certificate并调用x509.CreateCertificate签发，需设BasicConstraintsValid=true、IsCA=true、DNSNames/IPAddresses齐全，私钥用rsa/ecdsa生成并正确PEM编码。
用 crypto/tls 和 crypto/x509 生成自签名证书最直接
Go 标准库完全支持，不需要调用 openssl 或引入第三方包。核心是手动构造 crypto/x509.Certificate 结构体，再用 x509.CreateCertificate 签发——它不校验 CA 属性，所以自签名可行。
关键点在于：私钥必须用 crypto/rsa 或 crypto/ecdsa 生成（tls.X509KeyPair 不接受 ed25519 私钥）；证书的 BasicConstraintsValid 设为 true 且 IsCA 设为 true 才能被部分客户端（如 curl + --cacert）当作根证书信任。
-
NotBefore建议设为当前时间，避免因系统时钟偏差导致证书“未生效” -
NotAfter别设太长（比如 10 年），开发用 1–2 年足够，过期后重生成即可 - Subject 的
CommonName可填"localhost"，但现代浏览器更看重DNSNames字段，务必填上
生成 RSA 私钥和证书 PEM 文件的最小可运行代码
以下代码输出两个文件：cert.pem（含证书链，此处仅 1 级）和 key.pem（PKCS#8 格式私钥）。注意：Go 1.16+ 默认用 encoding/pem.Encode 写入，无需额外 base64 编码。
package main
<p>import (
"crypto/ecdsa"
"crypto/elliptic"
"crypto/rand"
"crypto/x509"
"encoding/pem"
"log"
"math/big"
"time"
)</p><p>func main() {
priv, err := ecdsa.GenerateKey(elliptic.P256(), rand.Reader)
if err != nil {
log.Fatal(err)
}</p><pre class='brush:php;toolbar:false;'>template := x509.Certificate{
SerialNumber: big.NewInt(1),
Subject: pkix.Name{
CommonName: "localhost",
},
NotBefore: time.Now(),
NotAfter: time.Now().Add(365 * 24 * time.Hour),
KeyUsage: x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature,
ExtKeyUsage: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth},
BasicConstraintsValid: true,
IsCA: true,
DNSNames: []string{"localhost"},
}
derBytes, err := x509.CreateCertificate(rand.Reader, &template, &template, &priv.PublicKey, priv)
if err != nil {
log.Fatal(err)
}
certOut, _ := os.Create("cert.pem")
pem.Encode(certOut, &pem.Block{Type: "CERTIFICATE", Bytes: derBytes})
certOut.Close()
keyOut, _ := os.Create("key.pem")
pem.Encode(keyOut, &pem.Block{Type: "EC PRIVATE KEY", Bytes: x509.MarshalECPrivateKey(priv)})
keyOut.Close()}
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
如果你坚持用 RSA（比如兼容旧系统），把私钥生成换成：rsa.GenerateKey(rand.Reader, 2048)，然后用 x509.MarshalPKCS1PrivateKey 编码私钥块，Type 改为 "RSA PRIVATE KEY"。
用生成的证书启动 HTTPS 服务时常见报错
最常遇到的是 x509: certificate signed by unknown authority —— 这不是证书生成错了，而是客户端（比如你的 Go HTTP client 或 curl）没把 cert.pem 当作根证书加载。
- 在 Go client 中，需显式设置
http.Transport.TLSClientConfig.RootCAs，用cert.pem解析出的*x509.CertPool - curl 测试时别只用
-k，试试curl --cacert cert.pem https://localhost:8443，才能验证证书是否真被信任 - 如果浏览器访问提示“您的连接不是私密连接”，检查
DNSNames是否包含你实际访问的域名（如https://127.0.0.1:8443就得加"127.0.0.1"） - 证书里没写
IPAddresses字段却用 IP 访问，也会失败；填 IP 需用net.ParseIP("127.0.0.1")赋值给template.IPAddresses
要不要加 Subject Alternative Name（SAN）？要，而且必须加
Chrome、Firefox、Safari 自 2020 年起已强制要求 HTTPS 证书提供 SAN，否则直接标记不安全。CommonName 已被忽略。
这意味着哪怕你只跑 localhost，也得在 template 中同时设置：
DNSNames: []string{"localhost", "example.test"}IPAddresses: []net.IP{net.ParseIP("127.0.0.1"), net.ParseIP("::1")}
漏掉 ::1 会导致 IPv6 回环请求失败；漏掉 "localhost" 会导致 https://localhost:8443 被拒绝。没有商量余地。
