Go模块代理需显式配置可信CA证书，企业内网私有代理（如Artifactory）使用自签名或私有CA证书时，go mod download会因x509证书错误失败；必须通过GOSSL_CERT_FILE（Go 1.21+）或更新系统证书库使Go信任该CA。
Go模块代理必须显式配置可信CA证书
企业内网使用私有Go模块代理（如JFrog Artifactory、Nexus或自建goproxy）时，go get 默认只信任操作系统根证书库。若代理服务用的是自签名或私有CA签发的HTTPS证书，go mod download 会直接失败并报 x509: certificate signed by unknown authority。
这不是模块本身的问题，而是Go CLI底层HTTP客户端没加载你的私有CA证书。
- 必须通过环境变量
GOPROXY指向 HTTPS 地址（如https://proxy.internal.company.com），且该地址证书由你自己的CA签发 - 不能靠
curl --cacert ca.crt https://...验证成功就认为Go也能过——Go不读系统cURL配置 - 解决方案是让Go运行时信任你的根证书：把
ca.crt（PEM格式）路径写入GOSUMDB或更推荐的方式——用GOSSL_CERT_FILE环境变量（Go 1.21+ 支持） - 若用旧版Go（GOROOT/src/crypto/x509/root_linux.go 手动注入（不推荐），或在CI/CD中预置证书到容器镜像的
/etc/ssl/certs/ca-certificates.crt
go mod vendor 时证书验证不可绕过
go mod vendor 本质是调用 go list -m all + go mod download，它复用同一套TLS校验逻辑。即使你本地 go get 成功，vendor 过程仍可能因证书链缺失失败。
常见错误现象：go mod vendor 卡住或报错 verifying github.com/org/pkg@v1.2.3: cannot fetch，背后其实是TLS握手失败。
- 确保执行
go mod vendor的机器也设置了相同的GOSSL_CERT_FILE或已将私有CA合并进系统证书库 - 不要在
go.mod中写// indirect注释来“掩盖”问题——这是证书未被信任的表象，不是依赖声明问题 - Docker构建中尤其要注意：Alpine镜像默认无
/etc/ssl/certs，scratch镜像更为空；必须显式COPY ca.crt /etc/ssl/certs/并RUN update-ca-certificates
私有模块域名必须匹配证书SAN
Go模块代理地址（如 https://proxy.internal.company.com）必须出现在其TLS证书的 Subject Alternative Name（SAN）字段中。仅靠 CommonName 已无效（Go ≥1.19 强制要求SAN）。
如果你的私有代理部署在 proxy.internal.company.com，但证书只写了 CN=internal-proxy，go 命令会拒绝连接。
- 生成证书时必须显式加SAN：用
openssl req -addext "subjectAltName=DNS:proxy.internal.company.com"或用mkcert proxy.internal.company.com - 验证命令：
openssl x509 -in proxy.crt -text -noout | grep -A1 "Subject Alternative Name"，输出里必须含对应DNS条目 - 若代理用IP直连（如
https://10.1.2.3），证书必须包含IP:10.1.2.3，否则同样失败
CI/CD流水线中证书路径不能硬编码
在Jenkins/GitLab CI中，常有人把 ca.crt 路径写死进脚本或Makefile，比如 export GOSSL_CERT_FILE="/home/jenkins/ca.crt"。这导致不同环境（开发机、测试集群、生产构建节点）证书路径不一致，极易出错。
真正安全的做法是让证书路径可配置、可审计、不泄露。
- 用环境变量传路径，而非写死：
GOSSL_CERT_FILE=${CERT_PATH:-/etc/go-ssl/ca.crt} - 证书文件本身不应放在代码仓库；通过Secret Manager挂载（如K8s
Secretvolume、AWS Parameter Store） - 构建镜像时，避免
COPY ./secrets/ca.crt—— 这会让证书随镜像分发，违背最小权限原则 - 日志中禁止打印
GOSSL_CERT_FILE值；错误信息里若含路径，需提前脱敏（例如用fmt.Errorf("failed to load cert: %w", err)而非拼接路径字符串）
