Go微服务引入TLS必须替换底层监听和连接方式，而非加中间件或wrapper；服务端须用http.ListenAndServeTLS或tls.Listen，客户端须显式加载RootCAs并配置ServerName，自签名证书必须含SAN，gRPC需用credentials.NewTLS注入凭证。
Go 微服务引入 TLS 不是“加个中间件”或“套个 wrapper”，而是必须替换底层网络监听和连接方式；不改 net.Listen 或 http.ListenAndServeTLS，就永远跑在明文上。
服务端必须用 http.ListenAndServeTLS 或 tls.Listen 替换明文监听器
HTTP 场景下，http.ListenAndServe(":8080", handler) 启动的是纯 HTTP，连 HTTPS 都不成立。要加密，就得换函数：
-
http.ListenAndServeTLS(":443", "server.crt", "server.key", handler)最简，但无法设超时、中间件等 - 更推荐手动构造
http.Server：传入TLSConfig，再调srv.ListenAndServeTLS("", "") - 裸 TCP 协议（如自定义 RPC）必须用
tls.Listen("tcp", ":8443", &tls.Config{Certificates: []tls.Certificate{cert}})，不能先net.Listen再对conn手动套 AES——这绕过握手、证书校验、密钥协商，等于裸奔
客户端必须显式加载 RootCAs，不能依赖系统证书池
Go 不默认信任操作系统根证书（尤其 Alpine、scratch 镜像），http.Client 或 tls.Dial 连自签名或私有 CA 服务时，90% 失败是因为没设 RootCAs：
- 创建
*x509.CertPool，用AppendCertsFromPEM()加载 CA 根证书（即你自签时生成的ca.crt，不是server.crt） -
http.Transport.TLSClientConfig.RootCAs = certPool，且ServerName字段必须填对（比如证书 SAN 是DNS:api.example.com，这里就得设成"api.example.com"） -
tls.Dial的第二个参数是域名，不是 IP；填 IP 会导致 SNI 不发、域名比对失败 -
InsecureSkipVerify: true仅限本地调试，上线前必须删掉——它会让整个 TLS 失效，SNI、ALPN、证书链校验全 bypass
自签名证书必须含 Subject Alternative Name（SAN）
Go ≥1.15 默认严格校验证书字段，gRPC 和多数 HTTP 客户端会直接拒绝无 SAN 的证书，报错 x509: cannot validate certificate for xxx because it doesn't contain any IP SANs：
Golang Google Wire
下载
在 Go 中使用 google/wire 实现编译时依赖注入——wire.NewSet、wire.Build、wire.Bind（接口→实现）、wire.Struct、wire.Value、wire.Interface
立即学习“go语言免费学习笔记（深入）”；
- OpenSSL 生成时不能只用
openssl req -x509，必须配openssl.conf文件，在[req_ext]段写subjectAltName = @alt_names，再定义[alt_names]列出所有 DNS/IP（如DNS.1 = localhost、IP.1 = 127.0.0.1） - 命令中必须显式加
-config openssl.conf，漏掉就白忙 - Kubernetes 环境下还要加 Service DNS 名，例如
DNS.2 = mysvc.default.svc.cluster.local
gRPC 场景下 TLS 必须用 credentials.NewTLS 注入凭证
gRPC 默认走明文 HTTP/2，不是改 handler 就能加密，必须替换底层连接工厂：
- 服务端启动：用
grpc.Creds(credentials.NewTLS(serverTLSConfig))，其中serverTLSConfig.Certificates是解析后的tls.Certificate，双向认证需设ClientAuth: tls.RequireAndVerifyClientCert和ClientCAs - 客户端 Dial：同样传
grpc.WithTransportCredentials(credentials.NewTLS(clientTLSConfig))，clientTLSConfig.RootCAs必须加载服务端信任的 CA - 别把证书路径直接塞进
grpc.Creds——会 panic；也别用空&tls.Config{}，那等于没校验 - 证书链要完整：
server.crt应含域名证书 + 中间 CA（如 Let’s Encrypt 的fullchain.pem），私钥必须无密码、权限 ≤0600
最常被忽略的点是：服务端证书没问题，问题永远出在客户端没加载 RootCAs；证书生成时漏 SAN，调试时靠 InsecureSkipVerify 掩盖，上线就崩。这些不是“配置项”，是 TLS 握手成立的前提条件。
