GetCertificate 是关键入口，因它在每次 TLS 握手时动态返回证书，支持热更新而不重启服务；直接修改 TLSConfig.Certificates 无效，因其仅启动时读取一次。
为什么 http.Server 的 TLSConfig.GetCertificate 是关键入口
Go 标准库的 http.Server 并不直接支持运行时替换整个 TLSConfig，但提供了 TLSConfig.GetCertificate 回调函数——它会在每次 TLS 握手时被调用，返回当前有效的 *tls.Certificate。这意味着证书可以按需加载、缓存、热更新，而无需重启服务或中断连接。
常见错误是试图在启动后直接修改 server.TLSConfig.Certificates 字段，这完全无效：该字段仅在监听前被读取一次，后续修改对已运行的 http.Server 无影响。
- 必须把证书加载逻辑封装进
GetCertificate函数中，而不是外部赋值 - 推荐加一层内存缓存（如
sync.Map），避免每次握手都读磁盘或查远程存储 - 注意
GetCertificate不能阻塞太久（建议
如何安全地从文件系统动态加载证书并支持自动重载
最轻量且可控的方式是监听证书文件的变更（如用 fsnotify），并在变更后清空缓存，让下一次 GetCertificate 调用重新加载。不建议在 GetCertificate 内部做文件监听或轮询，那会污染职责且易出竞态。
示例核心结构：
var certCache sync.Map // map[string]*tls.Certificate
func getCertFromFS(hello *tls.ClientHelloInfo) (*tls.Certificate, error) {
domain := hello.ServerName
if domain == "" {
return nil, nil // fallback to default cert or reject
}
if cached, ok := certCache.Load(domain); ok {
return cached.(*tls.Certificate), nil
}
cert, err := tls.LoadX509KeyPair(
fmt.Sprintf("/etc/ssl/certs/%s.crt", domain),
fmt.Sprintf("/etc/ssl/private/%s.key", domain),
)
if err != nil {
return nil, err
}
certCache.Store(domain, &cert)
return &cert, nil
}
- 路径拼接要校验
ServerName是否合法（防止目录遍历），建议用path.Clean+ 前缀白名单 - 加载失败时不要 panic，应返回
nil, err，让 Go 自动 fallback 到TLSConfig.Certificates[0]（如有）或报错 - 私钥文件权限必须为
0600，否则LoadX509KeyPair会静默失败（Go 1.19+ 改为明确报错crypto/tls: failed to parse private key）
反向代理本身不需要特殊 TLS 配置，但要注意 Director 和 TLS 透传
Go 的 httputil.NewSingleHostReverseProxy 默认不处理客户端 TLS 信息；如果你需要把原始 SNI 或证书信息透传给后端（比如做 mTLS 路由），必须手动设置 Director 并注入 header 或自定义 transport。
- 标准反向代理不会读取或修改
http.Request.TLS字段，它只负责转发 HTTP 层数据 - 若后端也需要 HTTPS，应配置
http.Transport.TLSClientConfig，与前端的GetCertificate完全无关 - 不要在
Director中修改req.URL.Scheme为https后就以为启用了 TLS——必须同时设置proxy.Transport使用非默认的http.Transport实例，并启用TLSClientConfig
生产环境必须考虑证书刷新的原子性与错误降级
证书加载失败时，如果没有任何 fallback，整个域名将无法建立 HTTPS 连接（浏览器显示 ERR_SSL_VERSION_OR_CIPHER_MISMATCH 或类似错误）。这不是配置问题，而是 GetCertificate 返回了 nil, error 且没有兜底证书。
- 务必在
TLSConfig.Certificates中预置一个默认证书（如泛域名或自签名），确保即使动态加载失败也能响应 - 使用
sync.RWMutex保护缓存更新过程，避免并发加载同一域名时重复解析 PEM - 日志中记录每次证书加载结果（成功/失败/跳过），配合监控（如 Prometheus 暴露
cert_load_errors_total）才能及时发现磁盘满、权限错、格式坏等问题
真正难的不是加载，是让失败不可见——证书路径写错、私钥密码不为空、PEM 缺少 BEGIN 行，这些都会让 GetCertificate 静默返回 nil，然后客户端连不上，排查时却看不到任何错误日志。
