Go不读系统CA库，需用GOCERTIFICATEPATH加载自定义根证书或显式配置RootCAs；git命令还需单独执行git config --global http.sslCAInfo指定证书路径。
go get 报 x509: certificate signed by unknown authority 怎么办
这不是网络不通，而是 Go 的 TLS 客户端拒绝校验服务端证书——它不读系统 CA 库，只信任内置根证书或显式加载的 PEM 文件。常见于公司内网代理、私有 Git 仓库（如 Nexus、GitLab）、中间人抓包工具（Fiddler/Charles），或自签名 HTTPS 代理服务。
验证方式很简单：浏览器能打开 https://your-private-repo.com，但 go get your-private-repo.com/lib 失败，基本就是证书链问题。
- 先确认 Go 版本：
go version≥go1.21才支持GOCERTIFICATEPATH - 把你的 PEM 格式根证书（比如
internal-ca.crt）单独放进一个目录，例如/opt/my-ca/ - 设置环境变量：
go env -w GOCERTIFICATEPATH=/opt/my-ca（Linux/macOS）或set GOCERTIFICATEPATH=C:\ca\（Windows） - 注意：
GOCERTIFICATEPATH只影响 Go 自身的 HTTP 客户端（net/http、go mod），不影响git命令——后者仍需单独配git config --global http.sslCAInfo /path/to/internal-ca.crt
GOPROXY 启用 HTTPS 后证书校验失败
你用自签名证书部署了 Athens 或 goproxy 私服，客户端设置了 GOPROXY=https://athens.internal:8443，却仍报 x509 错误，说明 Go 没加载你的证书。
关键点在于：Go 不会自动信任你服务器的自签名证书，哪怕它在系统证书库中已安装。
立即学习“go语言免费学习笔记（深入）”；
- 不要设
InsecureSkipVerify = true—— 它只跳过签名验证，不解决 SNI 匹配失败、协议协商卡住等问题 - 确保你的证书 PEM 文件里包含完整证书链（server cert + intermediate + root），且文件后缀是
.crt或.pem - 监听地址必须匹配证书里的
DNSNames；如果证书只写了CommonName，现代 Go 默认忽略 CN，会报certificate is valid for xxx, not yyy - 若用 Nginx/Apache 做反向代理，检查是否禁用了 SNI 或强制要求 TLS 1.3 —— Go 客户端默认启用 TLS 1.3，但某些老服务只响应 TLS 1.2 ClientHello
git 协议拉取私有模块时 SSL 验证失败
当 go.mod 中模块路径是 https://gitlab.company.com/group/repo，而 Go 在底层调用 git clone 时失败，错误常含 SSL certificate problem，这不是 Go 的问题，是 git 自己的 TLS 校验行为。
GOCERTIFICATEPATH 对此完全无效，因为 Go 调用的是外部 git 进程，不是自己的 net/http。
- 执行：
git config --global http.sslCAInfo /opt/my-ca/internal-ca.crt - 如果用 SSH，确保
~/.ssh/id_rsa已添加到 Git 服务，并在go.mod中写成git@gitlab.company.com:group/repo格式 - 测试 git 是否可用：
git -c core.autocrlf=false clone https://gitlab.company.com/group/repo /tmp/test - 避免
GIT_SSL_NO_VERIFY=1—— 它只对 git 生效，但绕过验证会带来中间人风险，且无法解决 Go 模块校验（go.sum）失败
net/http: TLS handshake timeout 是握手卡住，不是连不上
这个错误意味着 TCP 连接已建立（net.Dial 成功），但 TLS 握手没完成。常见于私有 proxy 服务配置老旧，或客户端与服务端 TLS 版本/密码套件不兼容。
别急着改 Go 代码——这是 CLI 工具链行为，不是你写的程序问题。
- 用
openssl s_client -connect athens.internal:8443 -servername athens.internal -tls1_2测试：若也卡住，说明服务端未响应 ClientHello，和 Go 无关 - 临时缓解：加
go env -w GODEBUG=netdns=cgo强制用系统 DNS，避开 Go 纯 Go 解析器（有时慢得离谱） - 根本解法：确认服务端支持 TLS 1.2+，并启用至少一个 Go 默认支持的密码套件（如
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256） - 企业级建议：在内网部署带可信证书的 Athens 实例，或统一用 Let’s Encrypt 泛域名证书，避免自签名管理成本
