mTLS成功依赖证书链可信、服务端强制验客户端、客户端主动带证三要素缺一不可；需自建CA统一签发双端证书，挂载至/etc/tls/并严格配置tls.Config的ClientAuth与ClientCAs，同时确保客户端证书加载、RootCAs信任及文件权限为0600。
双向TLS（mTLS）不是加个配置就完事，它依赖三件事：证书链可信、服务端强制验客户端、客户端主动带证。缺一不可，漏掉任意一环，连接就会静默失败或降级为单向TLS。
生成并管理私有CA和双端证书
容器环境没有公共CA可用，必须自建CA；不能用 OpenSSL 临时生成一堆不统一的证书，否则后期轮换和吊销会失控。
- 用
step-ca初始化本地 CA：step ca init --name "myca" --dns localhost --address :8080，生成root.crt和root.key - 为每个服务（如
api-svc、db-proxy）分别签发证书，CSR 中必须包含正确 SAN：--san api-svc.default.svc.cluster.local - 客户端证书也需由同一 CA 签发，并确保其
OU或CN可用于服务端策略识别（比如 RBAC 鉴权） - 所有证书统一挂载到容器内
/etc/tls/下：/etc/tls/tls.crt（服务端证书）、/etc/tls/tls.key（私钥）、/etc/tls/ca.crt（根证书）、/etc/tls/client.crt+/etc/tls/client.key（客户端身份凭证）
服务端配置 tls.Config 强制验客户端
仅调用 http.ListenAndServeTLS 不会启用 mTLS；必须显式构造 tls.Config 并设置校验策略，否则客户端不带证书也能连上。
- 加载服务端证书：
tls.LoadX509KeyPair("/etc/tls/tls.crt", "/etc/tls/tls.key") - 构建 CA 信任池：
caPool := x509.NewCertPool()，再用caPool.AppendCertsFromPEM(caBytes)加载/etc/tls/ca.crt -
关键配置项：
ClientAuth: tls.RequireAndVerifyClientCert（不能写成tls.VerifyClientCertIfGiven），且ClientCAs: caPool - 启动时传入完整配置：
server := &http.Server{Addr: ":8443", Handler: mux, TLSConfig: config}，再调用server.ListenAndServeTLS("", "")
客户端发起请求时携带证书并验证服务端
默认 http.DefaultClient 不带证书也不信任私有 CA，直接调用会报 x509: certificate signed by unknown authority 或 tls: bad certificate。
立即学习“go语言免费学习笔记（深入）”；
- 新建
http.Transport，其中TLSClientConfig必须同时设置两项：
—Certificates: []tls.Certificate{clientCert}（从/etc/tls/client.crt+/etc/tls/client.key加载）
—RootCAs: caPool（同服务端的ca.crt） - 禁用
InsecureSkipVerify：生产环境设为false，且不要在代码里留开关注释——容易误开 - 若用 gRPC，同样传入
credentials.NewTLS(&tls.Config{...})，注意ServerName要匹配服务端证书 SAN（如"api-svc.default.svc.cluster.local"） - 证书文件权限必须是
0600，Go 的crypto/tls在读取私钥前会检查，权限过高（如0644）直接拒绝加载
运行时常见失败点排查
mTLS 失败通常不报明确错误，而是连接直接关闭或返回空响应；真正的问题往往藏在日志末尾或 TLS 握手阶段。
- 服务端日志出现
remote error: tls: bad certificate：多数是客户端证书未被 CA 签发，或ca.crt挂载错路径/内容损坏 - 客户端报
tls: failed to verify certificate: x509: certificate is valid for ... not ...：服务端证书 SAN 缺失或不匹配请求域名 - 连接超时无响应：检查容器网络策略是否放行 TLS 握手初始包（TCP SYN + ClientHello），某些 Service Mesh 会拦截未标注 mTLS 的流量
- 证书有效期过期：2026 年起 Let's Encrypt 默认 90 天，私有 CA 也建议设为 365 天以内并搭配自动轮换逻辑
最易被忽略的是证书路径硬编码和权限控制——挂载路径写死在代码里，一旦 ConfigMap 更新或 Secret 重命名，整个服务就哑火；而私钥文件权限不对，Go 连加载都不做，只默默 fallback 到 HTTP。这两处没测通，其他都白搭。
