必须用app.ListenTLS，不能套http.ListenAndServeTLS；Fiber的*fiber.App不是http.Handler，直接传入会导致类型错误或panic，正确方式是app.ListenTLS(":443", "fullchain.pem", "key.pem")，并确保证书链完整、私钥未加密且权限0600、换行符为LF。
必须用 app.ListenTLS，不能套 http.ListenAndServeTLS
Fiber 的 *fiber.App 不是 http.Handler，直接往 http.ListenAndServeTLS 里传会编译失败或 panic。框架自己封装了 TLS 启动逻辑，唯一正确入口是 app.ListenTLS（v2）或 app.ListenTLS（v3），它内部自动调用 tls.Listen 并构造 http.Server。
常见错误写法：http.ListenAndServeTLS(":443", "cert.pem", "key.pem", app) → 类型不匹配，报 cannot use app (type *fiber.App) as type http.Handler。
-
app.ListenTLS(":443", "cert.pem", "key.pem")是最简启动方式，端口、证书、私钥全由 Fiber 管理 - 若需自定义
http.Server字段（如ReadTimeout），得用app.Listener+ 手动构造http.Server，再调srv.ListenAndServeTLS - v2 和 v3 的
ListenTLS参数顺序一致：地址、证书路径、私钥路径
证书文件必须拼 fullchain.pem，不能只放 cert.pem
Let’s Encrypt 或其他 CA 签发的证书，cert.pem 通常只含域名证书，缺少中间 CA 证书。Fiber 底层调用 tls.LoadX509KeyPair，要求 certFile 必须包含完整链（服务器证书 + 所有中间证书），否则 iOS、Java 客户端或部分浏览器握手失败，报 x509: certificate signed by unknown authority 或 tls: bad certificate。
- 正确做法：把
cert.pem和chain.pem（或fullchain.pem）合并为一个文件：cat cert.pem chain.pem > fullchain.pem - 自签名证书调试时，
openssl req命令必须加-addext "subjectAltName = DNS:localhost"，否则 Chrome 90+ 拒绝连接（ERR_CERT_COMMON_NAME_INVALID） - 证书文件不能含 Windows CRLF 换行符，否则解析失败，报
tls: failed to find any PEM data；可用dos2unix fullchain.pem key.pem修复
私钥必须未加密且权限为 0600
Go 标准库不支持加载密码保护的私钥。如果用 openssl genrsa -aes256 生成，Fiber 启动时不会提示“密钥被加密”，而是在 TLS 握手阶段静默失败，日志可能只有 accept tcp: operation not permitted 或直接卡住。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
立即学习“go语言免费学习笔记（深入）”；
- 解密命令：
openssl rsa -in key.pem.enc -out key.pem - Linux/macOS 下，私钥文件权限必须为
0600，0644会被 crypto/tls 拒绝加载（尤其 systemd 服务中容易忽略） - 路径必须用绝对路径，相对路径如
"./key.pem"在工作目录变动时会报open ./key.pem: no such file or directory；建议启动前用filepath.Abs转换
需要定制 TLS 行为时，得拿到底层 *http.Server
app.ListenTLS 是快捷封装，无法设置 TLSConfig.MinVersion、启用 mTLS 或自定义 Cipher Suites。这时必须绕过快捷方法，显式构造 http.Server 并注入 Fiber 的 handler。
- 先调
app.Handler()获取http.Handler - 构造
&http.Server{Addr: ":443", Handler: app.Handler(), TLSConfig: &tls.Config{...}} - 手动调
srv.ListenAndServeTLS("fullchain.pem", "key.pem") - 注意：
TLSConfig必须在ListenAndServeTLS调用前赋值，之后改无效 - 设
ClientAuth: tls.RequireAndVerifyClientCert时，ClientCAs必须非空，否则所有连接直接被拒，错误日志仅显示tls: bad certificate
证书链完整性、私钥权限、路径格式这三项占 HTTPS 启动失败的 90% 以上；逻辑上看似简单，但每个环节都卡在细节里——不是代码写错，而是文件内容或系统权限没对齐。
