根本原因是Go不复用系统CA证书库，而是依赖内置根证书且无法识别私有CA签发的证书链；正确解法是Go 1.21+设置GOCERTIFICATEPATH指向含PEM格式根证书的独立目录，或为git单独配置http.sslCAInfo。
Go 模块拉取私有仓库（如 Nexus、Artifactory、自建 Athens 或内网 GitLab）时，go get 报 x509: certificate signed by unknown authority，根本原因不是“连不上”，而是 Go 的 TLS 客户端默认不读系统 CA 证书库，且无法自动识别你企业私有 CA 签发的证书链。
go get 报证书错误：先区分是 HTTPS 还是 git 协议在出问题
私有模块地址形如 https://git.example.com/myorg/mypkg 或 ssh://git@git.example.com/myorg/mypkg，但实际拉取行为取决于 GOPROXY 和模块元数据。常见混淆点：
- 若
GOPROXY设为https://athens.example.com，则go get先走 HTTPS 请求该 proxy 的/module/@v/list接口——这里会触发证书校验；proxy 自身若用自签名证书，就卡在这一步 - 若
GOPROXY=direct或模块被GOPRIVATE匹配，则 go 工具链可能降级为执行git clone，此时报错来自git命令本身，和 Go 的 TLS 配置无关 -
GOCERTIFICATEPATH对git无效；git config --global http.sslCAInfo对go get的 HTTPS 请求也无效
GOCERTIFICATEPATH 环境变量只对 Go 自身 TLS 生效（Go 1.21+）
这是目前最干净、无需改代码的全局方案，但必须满足三个条件：
- Go 版本 ≥
go1.21（运行go version确认） - 你的私有 CA 根证书是 PEM 格式（
.crt或.pem文件），且文件名以这些后缀结尾 - 该文件放在一个**独立目录**中（如
/etc/my-ca/），目录下不能混杂其他非证书文件
设置方式：
立即学习“go语言免费学习笔记（深入）”；
export GOCERTIFICATEPATH=/etc/my-ca/ # Linux/macOS；Windows 用 set GOCERTIFICATEPATH=C:\ca\
验证是否加载成功：运行 go env -w GODEBUG=x509roots=1 后再 go get -d example.com/private/pkg，终端会打印加载的证书摘要。注意：该变量不影响 exec.Command("git", ...) 调用。
私有 Git 仓库走 HTTPS 协议时，git 命令需单独配置 sslCAInfo
当 go get 回退到 git clone https://...（常见于 GOPRIVATE=*.example.com 场景），证书错误来自 libcurl 或系统 OpenSSL，和 Go 无关。必须显式告诉 git 信任哪个根证书：
git config --global http.sslCAInfo /etc/my-ca/internal-ca.crt
关键点：
- 路径必须是单个 PEM 文件（不是目录），且该文件只含一个或多个
-----BEGIN CERTIFICATE-----块 - 如果私有 Git 使用了中间证书，需把 root CA + intermediate CA 拼成一个文件再指定
- CI/CD 环境（如 GitHub Actions、GitLab Runner）中，需在 job 步骤里提前运行该
git config命令，不能只在本地设
绕过验证只是临时调试手段，且有明确失效场景
设 GIT_SSL_NO_VERIFY=1 或 GOINSECURE=*.example.com 可跳过部分校验，但它们有硬性限制：
-
GOINSECURE只影响go get的 module proxy 请求（即GOPROXY流量），对git clone无效 -
GOINSECURE不支持通配符子域名以外的模式（如GOINSECURE=git.example.com有效，但GOINSECURE=git.example.com:8443无效） -
InsecureSkipVerify: true在自定义http.Client中生效，但go get内部不读你的代码——它用的是 Go 工具链内置的 HTTP 客户端
真正容易被忽略的是：即使设置了 InsecureSkipVerify，若服务端证书的 DNSNames 字段为空（只填了 CommonName），Go 1.15+ 仍会报 x509: certificate is valid for xxx, not yyy ——因为现代 Go 已彻底废弃 CN 匹配逻辑，必须靠 SAN（Subject Alternative Name）。
