Echo框架启动HTTPS必须用e.StartTLS，不能用http.ListenAndServeTLS；cert.pem需含域名证书+中间CA、key.pem须未加密且权限0600、换行符为LF，否则iOS/Java客户端握手失败或静默退出。
Go Echo 框架启动 HTTPS 服务，必须用 e.StartTLS，不能直接套 http.ListenAndServeTLS —— 后者只接受 http.Handler，而 e 是 *echo.Echo 类型，类型不匹配会编译失败或 panic。
证书路径和格式必须严格满足 PEM 要求
常见启动失败不是代码写错，而是证书文件本身不合规。Echo 的 e.StartTLS 对输入零容忍：
-
cert.pem必须是完整 PEM 链：域名证书 + 中间 CA（如 Let’s Encrypt 的fullchain.pem），只放cert.pem会导致 iOS、Java 客户端握手失败，报x509: certificate signed by unknown authority -
key.pem必须是未加密私钥（生成时加了-nodes），带密码的私钥会 panic 报tls: failed to parse private key - 两个文件都必须用 LF 换行符（Windows 编辑器保存时选 Unix 格式），否则 Go crypto/tls 解析失败且无明确提示
- Linux/macOS 下私钥权限必须为
0600；若为0644，底层静默拒绝加载，进程可能直接退出，日志仅见accept tcp: operation not permitted
生产环境别用 e.StartTLS 简单封装
e.StartTLS(":443", "cert.pem", "key.pem") 看似方便，但它绕过了 http.Server 的关键配置能力。你无法设置超时、禁用弱 TLS 版本、控制连接生命周期——这些在生产中不是可选项，而是安全底线：
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 必须手动构造
&http.Server，显式赋值TLSConfig：MinVersion: tls.VersionTLS12，并清空NextProtos以防降级 -
ReadTimeout/WriteTimeout不设会导致连接耗尽，尤其面对慢速攻击（如 Slowloris） - 若需 HTTP 自动跳转 HTTPS，得额外起一个
http.Server监听 :80，用http.Redirect发送 301（不是默认的 302），且要加Strict-Transport-Security头，但注意该头只能在 HTTPS 响应中发 - 别在调用
e.StartTLS后再调e.Start，端口冲突会 panic
HTTP/2 不是开关，是 TLS 协商结果
Go 的 net/http 从 1.8 起自动注册 h2 ALPN，Echo 不需要额外配置 HTTP/2。但能否真正走 HTTP/2，取决于三个硬条件是否同时满足：
立即学习“go语言免费学习笔记（深入）”；
- 必须通过
http.ListenAndServeTLS（或等价的e.StartTLS）启动，纯 HTTP 监听不可能协商出 HTTP/2 - 证书必须被客户端信任：自签名证书会被 Chrome/Firefox 直接拦截，建议用
mkcert生成本地可信证书用于开发 - 客户端必须主动发起 HTTP/2 请求：用
curl -I --http2 https://localhost:443验证，返回HTTP/2 200才算成功；若返回HTTP/1.1或重定向，说明某处链路断了
最容易被忽略的是证书链完整性与私钥权限——它们不出错时一切正常，一出错就静默失败，连错误日志都可能被吞掉。调试时优先用 openssl x509 -in cert.pem -text -noout 和 openssl rsa -in key.pem -check -noout 验证文件本身，比反复改代码更有效。
