Go实现mTLS必须设tls.Config.ClientAuth为tls.RequireAndVerifyClientCert，加载匹配的ClientCAs，客户端主动提供证书并信任服务端CA，gRPC与HTTP配置不可复用，需自定义VerifyPeerCertificate实现零信任校验。
Go 里实现 TLS 双向认证（mTLS）不是“配好证书就完事”，关键在服务端是否真正强制要求并验证客户端证书——tls.Config.ClientAuth 必须设为 tls.RequireAndVerifyClientCert，否则连接会静默降级为单向，你根本察觉不到失败。
服务端必须显式启用并验证客户端证书
默认的 http.ListenAndServeTLS 或 tls.Listen 构造的 tls.Config 中，ClientAuth 是 tls.NoClientCert，等于关闭双向验证。哪怕你传了 ClientCAs，只要没设 ClientAuth，客户端不发证书也不报错。
-
ClientAuth: tls.RequireAndVerifyClientCert是唯一能确保双向流程生效的值；其他如RequireAnyClientCert或VerifyClientCertIfGiven都无法保证客户端身份真实可信 -
ClientCAs必须是加载了 PEM 根证书的*x509.CertPool，且内容必须和客户端所用 CA 一致；不一致会直接返回remote error: tls: bad certificate - 服务端自己的证书仍走
Certificates字段，和单向 HTTPS 完全一样，别混进ClientCAs
客户端必须主动提供证书且信任服务端根CA
Go 的 http.DefaultTransport 和 grpc.Dial 默认都不发客户端证书，也不校验服务端证书链——除非你手动构造 tls.Config 并注入 Transport 或 Credentials。
- 用
tls.LoadX509KeyPair("client.crt", "client.key")加载客户端证书和私钥；私钥文件权限必须是0600，否则 Go 会静默返回空tls.Certificate -
RootCAs字段必须填入服务端 CA 的根证书池（不是客户端证书），否则握手失败时只报模糊错误transport: authentication handshake failed - 若服务端证书 SAN 不含请求域名或 IP，必须显式设置
ServerName字段，否则触发x509: certificate is valid for xxx, not yyy
自定义校验逻辑要用 VerifyPeerCertificate 而非跳过验证
默认链验证只检查是否能追溯到 ClientCAs，但零信任场景需要 OU 过滤、序列号黑名单、SAN 匹配等业务规则——这时得靠 VerifyPeerCertificate 回调。
立即学习“go语言免费学习笔记（深入）”；
- 该函数接收原始 DER 字节
rawCerts，需手动调用x509.ParseCertificate解析 -
verifiedChains不可直接信任：一旦设置了VerifyPeerCertificate，Go 就不再自动执行链验证，你得先调用roots.Verify补上基础校验 - 切勿用
InsecureSkipVerify: true绕过验证——它只适合本地调试，正式环境必须靠RootCAs显式信任
gRPC 和 HTTP 的 mTLS 配置不互通，不能复用
gRPC 的 TLS 配置路径独立于 HTTP，http.ListenAndServeTLS 的参数对 gRPC 完全无效；反过来，grpc.Creds(credentials.NewTLS(nil)) 也会退化为明文通信。
- gRPC 服务端启动必须用
grpc.Creds(credentials.NewTLS(tlsConfig))，其中tlsConfig同样要满足ClientAuth == tls.RequireAndVerifyClientCert且含ClientCAs - gRPC 客户端
Dial时必须用grpc.WithTransportCredentials(credentials.NewTLS(tlsConfig))，且tlsConfig必须含Certificates（客户端证书）和RootCAs（服务端 CA） - 证书链不完整（比如缺中间 CA）、私钥被密码保护却未解密，都会导致握手在底层
crypto/tls阶段静默失败，日志里几乎没有有效线索
最易忽略的是证书吊销检查（OCSP/CRL）——Go 标准库默认关闭，VerifyPeerCertificate 里不手动实现，攻击者拿到有效证书就能长期冒充合法客户端。
