根本原因是证书链、密钥交换算法和签名算法三者中至少一项不被IE8等老旧客户端信任；需使用IE8内置信任的旧CA签发的无SAN、RSA≤2048位证书，并显式配置TLS 1.1及兼容套件。
Go 默认 TLS 配置不兼容 IE8、旧版 Android WebView 或 Windows XP 上的老旧客户端，根本原因不是协议版本缺失，而是证书链、密钥交换算法和签名算法三者中至少一项不被客户端信任。强行启用弱密码套件（如 TLS_RSA_WITH_RC4_128_SHA）只能解决部分握手失败，但无法绕过证书验证环节的硬性拦截。
IE8 / Windows XP 客户端连不上 Go HTTPS 服务？先看证书是否被信任
IE8 不支持 SNI，且只信任极有限的根证书（如 VeriSign Class 3、Thawte Server CA），也不校验 SAN（Subject Alternative Name）。Go 用 http.ListenAndServeTLS 启动服务时，若证书是 Let’s Encrypt 或现代 CA 签发的，IE8 会直接拒绝连接，错误表现为“Internet Explorer cannot display the webpage”，无明确 TLS 错误日志。
- 必须使用自签名证书或由 IE8 内置信任的旧 CA 签发的证书
- 证书不能含 SAN 扩展（否则 IE8 忽略 CN，导致主机名不匹配）
- 私钥必须是 RSA，且长度 ≤2048 位（IE8 不支持 3072+ 或 ECDSA）
- 生成命令中务必省略
-addext "subjectAltName = DNS:..."，并用-subj "/CN=localhost"明确指定 CN
Go 客户端访问旧服务时 handshake failure？别急着开 RC4
当 Go 的 http.Client 连接仅支持 TLS_DHE_RSA_WITH_AES_128_CBC_SHA 的老系统（如某些内网设备）时，报错 remote error: tls: handshake failure，说明双方无共同密码套件。但直接启用 TLS_RSA_WITH_RC4_128_SHA 并不能解决问题——Go 1.19+ 已彻底移除 RC4 支持，且该套件在 TLS 1.2 中已被禁用。
- Go 1.22+ 完全删除了所有 RC4 密码套件，
crypto/tls源码里已无对应常量定义 - 可行路径只有两个：
TLS_DHE_RSA_WITH_AES_128_CBC_SHA（需服务端 DH 参数 ≤1024 位）或降级到 TLS 1.1（需显式设置MinVersion） - 启用 DHE 套件前，必须手动构造
tls.Config并注入CipherSuites列表，不能依赖默认值 - 示例配置片段：
tlsConfig := &tls.Config{
MinVersion: tls.VersionTLS11,
CipherSuites: []uint16{
tls.TLS_DHE_RSA_WITH_AES_128_CBC_SHA,
tls.TLS_DHE_RSA_WITH_AES_256_CBC_SHA,
},
}
client := &http.Client{
Transport: &http.Transport{
TLSClientConfig: tlsConfig,
},
}
Windows Schannel 和 Go 服务共存时最易踩的坑
Go 启动的 HTTPS 服务若部署在 Windows Server 上，且同时启用了系统级 Schannel 策略（如禁用 TLS 1.0/1.1），可能触发双重限制：Schannel 层先拦截握手请求，再由 Go 的 crypto/tls 处理，导致错误信息模糊（如 wsaeconnreset 而非明确 TLS 错误）。
- 检查注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols下各 TLS 版本的Enabled值是否为 1 - Go 服务本身不读取 Schannel 策略，但 Windows 网络栈可能提前终止不合规的 ClientHello
- 若必须兼容旧客户端，建议在 Go 服务前加一层 Nginx，由其处理协议降级与证书适配，Go 后端保持 TLS 1.2+ 安全配置
- 不要在 Go 代码中调用
syscall.SetConsoleCtrlHandler或尝试干预系统 SSL 栈——无效且危险
真正难调试的从来不是“哪个套件该开”，而是证书链顺序、DH 参数位数、签名算法（SHA-1 vs SHA-256）三者如何组合才能让 IE8 或 Android 4.4 WebView 点下“继续浏览”按钮。这些细节一旦出错，握手会在 ServerHello 之前就静默失败，连错误日志都抓不到。
