http.ListenAndServeTLS报“no certificate found”是因为certFile必须是单个PEM文件，且证书链与私钥需按顺序合并（证书在前、私钥在后），不能拆分为两个独立文件传入。
http.ListenAndServeTLS 报 “no certificate found” 怎么办
不是文件路径错，而是 Go 要求 certFile 必须是单个 PEM 文件，且**证书链和私钥必须合并在一起、顺序不能颠倒**。
-
cert.pem里要先放域名证书（或自签名证书），再放中间 CA（如 Let’s Encrypt 的 fullchain.pem 内容），最后才是私钥 —— 用cat server.crt intermediate.crt server.key > cert.pem合并 - 绝对不要传两个独立文件：
http.ListenAndServeTLS(":443", "server.crt", "server.key")是错的，第二个参数是 cert 文件路径，第三个才是 key 文件路径；但 Go 不允许你把它们拆开传 - 用
openssl x509 -in cert.pem -text -noout看是否能解析出证书内容；用openssl rsa -in cert.pem -check -noout看私钥是否在同一个文件里且有效
自签名证书本地跑不通？大概率是 SAN 或权限问题
Go ≥1.19 默认拒绝无 SAN 的证书，哪怕 CN 匹配也不行；同时私钥权限稍高就会静默失败。
- 生成时必须加
-addext "subjectAltName=DNS:localhost,IP:127.0.0.1"，否则 curl 或浏览器会报certificate is valid for localhost, not 127.0.0.1 - 私钥文件权限必须 ≤0600（
chmod 600 key.pem），Linux/macOS 下设成 0644 会加载失败，不报错、不 panic，只是 TLS 握手直接断连 - Windows 用户注意：保存为 LF 换行（非 CRLF），否则
crypto/tls解析 PEM 失败，现象是tls: failed to find any PEM data in certificate input
客户端连不上自签名服务？RootCAs 不是摆设
服务端配得再好，Go 客户端默认只信系统根证书池，你的自签名根不在里面，就必然失败。
- 必须手动构造
*x509.CertPool，用pool.AppendCertsFromPEM()加载你的cert.pem中的公钥部分（只塞-----BEGIN CERTIFICATE-----块） -
InsecureSkipVerify: true是裸奔开关，它会让 SNI、ALPN 全失效，中间人可伪造任意证书 —— CI/CD 应扫描拦截该字段 - 若服务端启用了 SNI（比如多域名复用一个 IP），客户端
http.Client.Transport.TLSClientConfig.ServerName必须显式设为目标域名，否则握手时收不到正确证书
TLS 版本和 CipherSuites 怎么设才不踩坑
默认配置会启用 TLS 1.0/1.1 和 CBC 类旧 cipher，既不安全也不兼容现代审计要求。
立即学习“go语言免费学习笔记（深入）”；
- 最低要求设
MinVersion: tls.VersionTLS12，彻底禁用 TLS 1.0/1.1 - CipherSuites 推荐只留 AEAD 类型：
tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384、tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256等 - Go 1.19+ 默认 cipher 排序更安全，手动指定
CipherSuites反而可能降低优先级；只在明确需裁剪时才设，且要确保列表里所有 cipher 都支持 PFS
openssl s_client -connect localhost:443 -tls1_2 实测握手过程。 
