Go服务端启用mTLS必须显式设ClientAuth为tls.RequireAndVerifyClientCert，否则仅为单向TLS；需同时配置ClientCAs加载信任的CA根证书池，且服务端证书与ClientCAs完全解耦。
服务端必须设 tls.RequireAndVerifyClientCert，否则不是真 mTLS
很多人以为只要加载了 ClientCAs 就启用了双向认证，其实不然。如果 ClientAuth 设成 tls.VerifyClientCertIfGiven，客户端不带证书也能连上——这等于单向 TLS，设备身份完全不可信。
真正强制双向验证的唯一合法值是 tls.RequireAndVerifyClientCert。它会让服务端在 TLS 握手阶段直接拒绝无证书或证书校验失败的连接，返回 tls: client didn't provide a certificate 或 x509: certificate signed by unknown authority。
- 别漏掉
ClientCAs：必须是已成功加载 PEM 内容的*x509.CertPool，传空池或文件路径字符串都会静默失效 - 服务端自己的证书（
tls.LoadX509KeyPair("server.crt", "server.key")）和用于验客户端的 CA 根证书（ca.crt）是两套独立文件，混用会导致x509: certificate signed by unknown authority - 生产环境务必设置
MinVersion: tls.VersionTLS12，并移除tls.TLS_RSA_WITH_*等不支持前向保密的套件
客户端必须显式设置 RootCAs 和 Certificates，不能依赖系统根证书
Go 的 http.Client 或 grpc.Dial 默认只信任系统根证书池，对私有 CA 签发的服务端证书会直接报错 x509: certificate signed by unknown authority。你必须自己加载 ca.crt 构建 RootCAs；同时，mTLS 要求客户端出示身份，所以还得填入自己的 client.crt 和 client.key 构成的 tls.Certificate。
-
RootCAs只干一件事：验证服务端证书是否可信，值必须是含私有 CA 根证书的*x509.CertPool -
Certificates只干另一件事：向服务端出示客户端身份，值必须是tls.LoadX509KeyPair("client.crt", "client.key")返回的tls.Certificate - 绝对不要设
InsecureSkipVerify: true——它会绕过全部证书校验，等价于裸奔，CI/CD 应扫描拦截该字段 -
ServerName必须和服务端证书的 SAN 完全匹配（如DNS:auth-svc.default.svc.cluster.local），写 IP 地址只有在证书明确包含该 IP 的 SAN 时才有效
证书文件格式与权限稍有偏差就会静默失败
Go 的 crypto/tls 对证书文件极其挑剔：内容顺序、PEM 块完整性、私钥加密状态、文件权限，任一出错都可能不报错但连接失败，或 panic 报 tls: failed to find any PEM data in certificate input。
-
cert.pem必须包含服务器证书 + 所有中间证书（如有），不能只放根 CA；否则客户端校验失败 -
key.pem必须是未加密私钥（即不含DEK-Info头），否则tls.LoadX509KeyPair直接 panic - Linux 下私钥权限不能高于
0600，0644会被 crypto/tls 拒绝加载，且不报明确错误 - 自签名证书测试时，
cert.pem的 SAN 必须包含访问域名或 IP，否则客户端报certificate is valid for xxx, not yyy
容器环境中证书挂载路径与代码读取路径必须严格一致
Kubernetes 或 Docker 中，证书通常通过 Secret 或 ConfigMap 挂载进容器，但路径错一位（比如挂载到 /etc/tls/ 却在代码里读 /tls/），就会导致 ioutil.ReadFile 找不到文件，最终握手失败。
- 推荐统一挂载到
/etc/tls/tls.crt、/etc/tls/tls.key、/etc/tls/ca.crt，代码中硬编码或通过环境变量读取 - K8s
volumeMounts挂载 Secret 时，确保文件权限为0444（只读），避免因权限过高被 Go 拒绝加载 - 证书 SAN 必须匹配服务发现地址，例如 K8s Service DNS 名
auth-svc.default.svc.cluster.local，不能只写auth-svc - 设备类服务（IoT/边缘网关）证书的 SAN 建议用
URI:spiffe://example.org/device/abc123或serial:ABC123，便于服务端做细粒度校验
