根本原因是Go不读系统CA库，只认内置证书或显式加载的PEM文件；需用GOCERTIFICATEPATH加载自定义根证书，或为git单独配置sslCAInfo，同时注意GOPRIVATE与GONOSUMDB配合避免回退校验。
Go 模块依赖证书报错（如 x509: certificate signed by unknown authority）根本不是网络连不上，而是 Go 客户端在校验 HTTPS 服务端证书时，找不到可信的根证书——它压根不读系统 CA 库，只认内置证书或你显式告诉它的 PEM 文件。
go get 报 x509 错误时，别急着关 TLS 验证
设 InsecureSkipVerify = true 后仍失败？说明问题不在证书签名验证环节，而卡在更早阶段：SNI 不匹配、服务端不响应 ClientHello、或证书里 DNSNames 为空只留 CommonName（现代 Go 默认忽略 CN）。绕过验证只是掩盖握手失败的真实原因，且会引入安全风险。
- 先用
openssl s_client -connect example.com:443 -servername example.com -tls1_2测试：若也卡住，问题在服务端配置（如禁 SNI、TLS 版本太老） - 确认是否用了中间人工具（Fiddler/Charles）或公司代理：浏览器能开但
go get失败，基本就是证书被替换 -
go get走 HTTPS 协议才受 Go 的 TLS 设置影响；走 git 协议（如git://或 SSH）则完全不经过 Go 的证书校验逻辑
GOCERTIFICATEPATH 是 Go 1.21+ 最干净的加载方式
把你的 PEM 格式根证书（比如 internal-ca.crt）放进一个独立目录（如 /opt/my-ca/），再设置环境变量，Go 就会自动加载所有 *.crt 和 *.pem 文件进信任池——比改源码、合并 certs.pem 或全局修改 http.DefaultTransport 更安全可控。
- 仅对 Go 自身的 TLS 客户端生效（
net/http、go get、go mod download），不影响exec.Command("git", ...) - Git 命令需单独配：
git config --global http.sslCAInfo /opt/my-ca/internal-ca.crt - Windows 用户注意路径分隔符和权限：证书文件需可读，目录不能有空格或中文
私有仓库 + GOPROXY 组合场景要拆开处理
当你用自签名证书部署了私有 module proxy（如 Athens），并设置了 GOPROXY=https://athens.example.com，go get 仍报 x509 错误——这是因为 Go 对 proxy 地址做 HTTPS 请求时，同样需要校验证书。GOCERTIFICATEPATH 能解决，但还有两个易漏点：
立即学习“go语言免费学习笔记（深入）”；
-
GOPRIVATE必须包含 proxy 域名（如export GOPRIVATE=*.example.com），否则 Go 会尝试去官方校验 sum，触发额外证书校验 -
GONOSUMDB要同步配置（export GONOSUMDB=*.example.com），避免因跳过 sum 校验失败而回退到直连原始仓库（可能证书更不可信） - 如果 proxy 后端还反向代理了 GitHub 等外部源，确保 proxy 自身出站请求也加载了对应 CA，否则错误会透传给客户端
真正麻烦的不是证书放哪，而是同一个证书在不同环节要加载多次：Go 进程一次、git 命令一次、proxy 服务自身一次。漏掉任意一环，错误就换种形式冒出来。
