http.ListenAndServeTLS启动panic需先查四点：cert.pem须含完整证书链、key.pem须为未加密私钥、Linux/macOS下私钥权限≤0600、自签名证书必须含正确SAN（如DNS:localhost或IP:127.0.0.1）。
http.ListenAndServeTLS 启动就 panic？先查这四件事
Go 的 http.ListenAndServeTLS 不是“配了路径就能跑”，证书或私钥任一环节出错，都会在启动瞬间 panic，且错误信息往往模糊。最常踩的坑不是逻辑写错，而是文件本身不合规。
-
cert.pem必须含完整证书链：域名证书在前，中间 CA 证书紧随其后（如 Let’s Encrypt 的fullchain.pem），不能只放单个-----BEGIN CERTIFICATE-----块 -
key.pem必须是未加密私钥，格式为-----BEGIN PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----；带密码保护的私钥会直接触发tls: failed to find any PEM data in certificate input - Linux/macOS 下私钥权限必须 ≤
0600（chmod 0600 server.key），0644会被crypto/tls静默拒绝 - 自签名证书必须含正确的
Subject Alternative Name (SAN)，例如访问https://localhost:8443，则证书里得有DNS:localhost或IP:127.0.0.1；否则客户端报certificate is valid for xxx, not yyy
客户端连不上 TLS 服务？RootCAs 不是可选项
用 http.Client 或 tls.Dial 连自签名或私有 CA 签发的服务时，90% 的连接失败源于没设 RootCAs。Go 不默认信任系统根证书池——Alpine 镜像、Docker scratch 镜像甚至某些 macOS 安装都压根没 /etc/ssl/certs。
- 必须显式创建
*x509.CertPool，再用AppendCertsFromPEM()加载 CA 根证书（即你自签时用的ca.crt或服务端证书内容） -
InsecureSkipVerify: true是调试开关，不是解决方案；它会让 SNI、ALPN、证书链校验全失效，上线前必须删掉，连注释都不能留 - 用
tls.Dial时，第二个参数必须传域名（如"localhost"），不是 IP 地址；否则 SNI 不发，且证书域名比对直接失败 - HTTP 客户端走
http.Transport.TLSClientConfig，记得同时设ServerName字段，尤其后端是泛域名证书或反向代理时
gRPC 双向 TLS（mTLS）配置不生效？关键字段必须配对
gRPC 默认走明文 HTTP/2，必须手动注入 TLS 凭据。不是改 handler 或中间件，而是替换底层连接工厂。服务端和客户端的配置必须严格对应，漏一个字段就会静默失败。
- 服务端启动时：用
grpc.Creds(credentials.NewTLS(serverTLSConfig))注册监听，其中serverTLSConfig至少含Certificates、ClientAuth: tls.RequireAndVerifyClientCert、ClientCAs: caPool - 客户端
Dial时：传入grpc.WithTransportCredentials(credentials.NewTLS(clientTLSConfig))，其中clientTLSConfig必须设RootCAs: caPool，且ServerName要与服务端证书 SAN 匹配（如"auth-svc.default.svc.cluster.local"） - 证书链要完整：服务端证书 + 中间 CA（如有）+ 根 CA；私钥必须是 PEM 格式且无密码保护
- 不要复用同一个
tls.Config实例给服务端和客户端——它们用途不同，字段含义也不同
证书热更新怎么做到不中断服务？别等过期才想起 reload
Go 的 http.Server 和 grpc.Server 都不支持热更新证书。硬编码路径或重启加载不可靠，证书过期会导致整个服务不可用。
立即学习“go语言免费学习笔记（深入）”；
- 将证书文件挂载为 Kubernetes
Secret或文件系统只读卷，服务启动后定期检查文件修改时间（如每 5 分钟），触发tls.LoadX509KeyPair重载 - 用
fsnotify监听证书目录变更，实现真正的热重载（注意并发安全，用sync.RWMutex保护tls.Config实例） - 证书轮换策略建议：提前 30 天告警，新旧证书并存窗口期至少 7 天，避免因时间误差导致验证失败
- 密钥分离实践：私钥文件权限严格控制（
0600），CA 根证书可公开分发，但绝不能混在同一文件或变量中
