Go默认不复用系统CA证书库，而是依赖内置根证书或显式指定的CA；Go 1.21+可通过GOCERTIFICATEPATH环境变量指定含.crt/.pem文件的目录来加载自定义CA证书。
Go 开发环境里遇到 x509: certificate has expired 或 certificate signed by unknown authority，不是证书“有问题”，而是 Go 默认不复用系统 CA 证书库，且对过期时间校验极其严格——它不会容忍哪怕 1 秒过期，也不会自动加载你公司内网根证书。
go get 或模块下载报 x509: certificate signed by unknown authority 怎么办
这是 Go 自身 TLS 客户端（如 net/http、go mod download）在校验 HTTPS 服务器证书时失败，根本原因是 Go 不读 /etc/ssl/certs 或 Windows/macOS 系统证书路径，只认内置根证书或显式指定的 CA。
- 确认是否真由私有 CA 引起：用
curl -v https://your-private-repo.com看是否同样报 SSL 错误；如果 curl 正常而 go get 失败，基本锁定是 Go CA 加载问题 - Go 1.21+ 直接用
GOCERTIFICATEPATH：把 PEM 格式根证书（如internal-ca.crt）放进单独目录（如/opt/my-ca），再执行export GOCERTIFICATEPATH=/opt/my-ca - 旧版 Go（$GOROOT/src/crypto/tls/cert_pool.go 对应的
certs.pem文件（不推荐，升级易丢失） - 别设
GIT_SSL_NO_VERIFY=1：它只影响git命令本身，对go get走 HTTPS 下载模块完全无效
测试环境用自签证书时 http.Client 报 x509: certificate has expired 怎么绕过
开发/测试时用自签名或过期证书，最常见错误是直接改 http.DefaultTransport——这会污染所有 HTTP 请求（包括监控上报、健康检查），而且 Go 1.19+ 对 InsecureSkipVerify = true 有额外限制。
Colly Golang Web Scraper and Crawler Framework
下载
Colly 是一个用于 Go 语言的快速开源爬取和爬虫框架。它适用于从简单的页面提取到异步爬虫处理大量页面集合，支持请求回调和结构化解析。
- 只为特定请求定制
http.Transport：不要动全局http.DefaultTransport，而是新建 client 实例 - 必须同时处理
ServerName：如果 URL 是https://test.internal:8443，Go 默认把test.internal赋给tls.Config.ServerName；若证书 SAN 不含该域名，即使InsecureSkipVerify = true也会握手失败 - 安全替代方案：接管
VerifyPeerCertificate函数，只跳过NotAfter检查，保留域名和签名验证。示例：tr := &http.Transport{ TLSClientConfig: &tls.Config{ InsecureSkipVerify: true, VerifyPeerCertificate: func(rawCerts [][]byte, verifiedChains [][]*x509.Certificate) error { if len(verifiedChains) == 0 || len(verifiedChains[0]) == 0 { return errors.New("no certificate chain") } cert := verifiedChains[0][0] now := time.Now().UTC() if now.Before(cert.NotBefore) || now.After(cert.NotAfter) { // 只忽略过期，不忽略未生效 if now.After(cert.NotAfter) { return nil // 忽略过期 } return x509.CertificateInvalidError{Cert: cert, Reason: x509.Expired} } return nil }, }, }
用 tls.Dial 读取远程证书做过期监控时容易 panic 怎么防
想写个脚本查证书有效期，但 tls.Dial 一出错就 panic 或卡死，是因为没设超时、没兜底解析端口、也没分类错误类型。
立即学习“go语言免费学习笔记（深入）”；
- 端口解析必须兜底：用户输
example.com不能直接传给net.SplitHostPort（它会 panic），先判断是否有:，没有就拼":443" - 超时必须显式设：
tls.Dial默认无超时，用net.Dialer封装，设Timeout和KeepAlive - 错误要分类处理：
net.OpError（连不上）、tls.RecordHeaderError（端口开了但没跑 TLS）、x509.UnknownAuthorityError（自签但没开InsecureSkipVerify）——不能全丢给log.Fatal - 证书取法要准：成功后从
conn.ConnectionState().PeerCertificates[0]取 leaf 证书，不是[1]或[-1]；CDN 可能返回多张，但有效期看第一张 - 时间比较必须用 UTC：
cert.NotAfter.Before(time.Now().UTC().Add(7 * 24 * time.Hour))，混用本地时间会导致误判
真正难的不是跳过校验，而是区分哪些场景该跳、哪些该修——比如生产服务证书过期，必须换证；而测试环境自签证书过期，才考虑临时绕过。另外，InsecureSkipVerify = true 在 Go 1.19+ 后对 SNI 匹配更敏感，光设这个还不够，得同步检查 ServerName 是否在证书 SAN 里。
