Go服务端启用mTLS必须显式设ClientAuth为tls.RequireAndVerifyClientCert，否则仅为单向TLS；需同时配置ClientCAs加载信任的CA根证书池，且服务端证书与ClientCAs完全解耦。
Go服务端启用mTLS必须设ClientAuth为tls.RequireAndVerifyClientCert
不设这个，就只是单向tls——客户端证书被完全忽略，所谓“双向”纯属幻觉。很多团队配了半天发现客户端连不上，或者连上了但服务端根本没校验证书，根源就在这里。
常见错误配置：tls.VerifyClientCertIfGiven 或直接不设 ClientAuth 字段（默认值是 tls.NoClientCert）。前者允许无证书连接，后者干脆不验，都不满足“强制双向”要求。
实操要点：
-
TLSConfig.ClientAuth必须显式设为tls.RequireAndVerifyClientCert -
TLSConfig.ClientCAs必须加载服务端信任的 CA 根证书池（*x509.CertPool），不是客户端证书本身 - 服务端自己的证书和私钥走
http.ListenAndServeTLS的certFile和keyFile参数，与ClientCAs完全解耦 - 若用
net/http.Server，记得把完整TLSConfig挂到srv.TLSConfig上，再调srv.ListenAndServeTLS("", "")（空字符串表示从 config 读证书）
客户端证书加载失败的典型报错和修复路径
最常见两个错误：x509: certificate signed by unknown authority 和 tls: failed to verify client's certificate。本质都是证书链没对上，不是证书“坏了”，而是信任关系断了。
排查顺序必须是：先确认服务端是否信任客户端的签发者（CA），再确认客户端是否信任服务端的签发者（CA），最后看证书链是否完整。
立即学习“go语言免费学习笔记（深入）”；
关键点：
- 客户端的
tls.Config.RootCAs必须加载服务端的 CA 根证书（即签发服务端证书的那个 CA），不是服务端的cert.pem - 客户端自己的证书+私钥要通过
tls.Config.Certificates加载，且Certificates[0].Certificate是完整链（域名证书 + 中间 CA），不能只放终端证书 - gRPC 客户端用
credentials.NewTLS时，传入的*tls.Config同样需同时满足RootCAs和Certificates两套配置 - 快速验证命令：
openssl s_client -connect host:port -cert client.crt -key client.key -CAfile ca.crt，能通说明证书组合没问题
为什么http.Transport在mTLS下默认不复用连接
因为 http.Transport 的连接复用哈希键包含整个 tls.Config 实例。而每个客户端证书不同，若每次请求都 new 一个带不同 Certificates 的 tls.Config，哈希值就总变，连接永远无法复用。
这不是 bug，是设计使然——TLS 层面身份已绑定到连接，复用意味着身份混用。
可行方案只有两个：
- 所有客户端共用同一套证书（适合网关后统一出口场景），此时可安全复用
http.Transport实例 - 每个请求必须带独立证书（如租户隔离），则必须禁用复用：
Transport.MaxIdleConnsPerHost = 0，否则会复用旧连接，导致证书错位、校验失败
自签名CA在开发中怎么用才不踩坑
开发阶段用自签名 CA 很方便，但容易忽略三个硬性前提：服务端证书 CN 要匹配访问域名、客户端必须信任同一份 CA、私钥不能加密。
生成服务端证书时，Common Name 建议填 localhost 或 test.local，否则 curl 或浏览器会报域名不匹配；客户端代码里若用 Go 写 HTTP 请求，必须设 TLSClientConfig.InsecureSkipVerify = true ——但这仅限开发，生产环境绝不能开。
还要注意：
- 服务端私钥文件权限必须是
0600，Go 会静默拒绝加载权限过宽的私钥 -
certFile必须含完整证书链（域名证书 + 中间 CA），顺序不能颠倒；keyFile必须是无密码私钥 - 别把
ca.crt、server.key提交进 Git，尤其不能出现在生产镜像里
真正难的不是生成证书，而是让每条链上的每个环节都指向同一个信任根——服务端信谁、客户端信谁、谁给谁签的名，这三个问题没理清，配再多次也白搭。
