Go本地开发HTTPS必须同时提供PEM格式完整证书链和未加密私钥，自签名证书须含DNS:localhost等SAN字段，Common Name需匹配访问域名，certFile应为证书与私钥合并文件（证书在前、私钥在后），客户端RootCAs需显式加载server.crt公钥，mTLS须设ClientAuth为tls.RequireAndVerifyClientCert。
Go 本地开发要跑 HTTPS，不是把证书丢进项目目录就完事——http.ListenAndServeTLS 必须同时拿到 PEM 格式的完整证书链和未加密私钥，缺一不可；否则报 no certificate found 或静默失败，连错误提示都找不到根因。
本地自签名证书必须含 localhost SAN，且 Common Name 要匹配
浏览器（Chrome/Firefox）已不再无条件信任自签名证书的 localhost。若证书里 Common Name 是 example.com，但你访问 https://localhost:8443，就会触发 ERR_CERT_COMMON_NAME_INVALID。
- 生成时用
openssl req -new -x509 -key server.key -out server.crt -days 365，交互中Common Name必须填localhost或127.0.0.1 - 更稳妥的做法是加
-addext "subjectAltName = DNS:localhost,IP:127.0.0.1"（OpenSSL 1.1.1+），确保 SAN 字段存在 - 验证命令：
openssl x509 -in server.crt -text -noout | grep -A1 "Subject Alternative Name"，确认输出含DNS:localhost
ListenAndServeTLS 的 certFile 参数不是“证书文件”，而是“证书+私钥合并文件”
这是最常踩的坑：很多人以为 http.ListenAndServeTLS(":8443", "server.crt", "server.key") 是传两个文件，实际第二个参数是单个路径，Go 会从该文件里顺序解析 PEM 块——必须是证书在前、私钥在后，且不能加密。
- 正确合并：
cat server.crt server.key > cert.pem（Linux/macOS）或type server.crt server.key > cert.pem（Windows） - 私钥不能有密码保护，否则报
tls: failed to find any PEM data in certificate input或crypto/tls: private key does not match public key - Windows 路径要用正斜杠：
"C:/certs/cert.pem"或原始字符串：`C:\certs\cert.pem`，混用反斜杠会报The system cannot find the path specified
客户端调用本地 HTTPS 服务时，RootCAs 必须显式加载 server.crt
http.DefaultClient 默认只信任系统根证书池，对自签名证书完全无视。不配置 http.Transport.TLSClientConfig.RootCAs，必然报 x509: certificate signed by unknown authority。
立即学习“go语言免费学习笔记（深入）”；
- 加载方式：
rootCAs, _ := x509.SystemCertPool(); rootCAs.AppendCertsFromPEM(pemBytes)，其中pemBytes是server.crt文件内容（不是cert.pem！） - 别误把
server.key或中间证书塞进RootCAs——它只接受-----BEGIN CERTIFICATE-----块 - 开发阶段可临时设
InsecureSkipVerify: true，但 CI/CD 应扫描拦截该字段，正式环境禁用
服务端启用 mTLS 时，ClientAuth 必须设为 tls.RequireAndVerifyClientCert
只往服务端配了 ClientCAs，却不设 ClientAuth，连接会静默降级为单向 TLS，客户端证书被彻底忽略——没有报错，但“双向”根本没生效。
- 必须显式写：
ClientAuth: tls.RequireAndVerifyClientCert；tls.VerifyClientCertIfGiven或默认值tls.NoClientCert都不行 -
ClientCAs加载的是你信任的 CA 根证书（即签发客户端证书的那个 CA），不是客户端的client.crt - 客户端发起请求时，
Transport.TLSClientConfig.Certificates必须由tls.LoadX509KeyPair("client.crt", "client.key")构造，且client.key权限必须 ≤0600（Linux/macOS），否则 Go 静默拒绝加载
真正卡住人的从来不是代码写几行，而是证书链顺序、私钥权限、SAN 字段、RootCAs 加载对象这四个硬约束——任意一个不满足，TLS 握手就在暗处失败，日志里只留一句模糊的 remote error: tls: bad certificate 或干脆超时。
