Go Gin生产环境必须手动构建http.Server并配置TLSConfig，而非仅用r.RunTLS；cert.pem需含完整证书链（如fullchain.pem），key.pem须为无密码、权限0600的PEM私钥，缺一或格式错误将导致panic或握手失败。
直接用 r.RunTLS 启动 HTTPS 是最简方式，但生产环境必须手动构造 http.Server 并配置 TLSConfig，否则会因 TLS 版本过低、证书链不全或私钥权限问题被浏览器拦截或握手失败。
cert.pem 和 key.pem 必须同时存在且格式合规
Go 的 http.ListenAndServeTLS（r.RunTLS 底层调用它）硬性要求两个非空 PEM 文件：一个含完整证书链的 cert.pem，一个无密码、权限为 0600 的 key.pem。缺一、为空字符串、路径错、格式错，都会 panic 或静默失败。
-
cert.pem不能只是域名证书——Let’s Encrypt 场景下必须是fullchain.pem（域名证书 + 中间 CA），否则客户端报x509: certificate signed by unknown authority -
key.pem若被openssl rsa -aes256加密过，启动时会报tls: failed to find any PEM data in certificate input（错误信息极具误导性）；需先解密：openssl rsa -in key.pem.enc -out key.pem - Linux 下若私钥权限是
0644，Go 会拒绝加载，但日志仍显示private key does not match public key；务必执行chmod 0600 key.pem - Windows 上若证书文件用 CRLF 换行，Go 解析失败；保存为 Unix 风格（LF）
绝对路径 + 启动前校验，避免“文件不存在”静默崩溃
相对路径如 "./cert.pem" 看似方便，但二进制在 systemd、Docker 或 IDE 中运行时，工作目录往往不是项目根，导致 open ./cert.pem: no such file or directory。这不是 Gin 的 bug，而是 Go 标准库不解析相对路径。
- 启动前用
filepath.Abs转成绝对路径：certPath, _ := filepath.Abs("cert.pem") - 加一步显式校验：
os.Stat(certPath)和os.Stat(keyPath)，失败立即 log.Fatal - 别依赖环境变量兜底——
os.Getenv("CERT_PATH")返回空时直接传入，线上服务秒崩 - 开发可用自签名，但生成时必须带 SAN：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -subj "/CN=localhost" -addext "subjectAltName = DNS:localhost,IP:127.0.0.1"
RunTLS 足够简单，但生产必须手动构建 http.Server
r.RunTLS(":443", "cert.pem", "key.pem") 适合开发验证，但它封装太深，无法设置超时、禁用弱协议、调整最大 header 大小等关键参数。生产环境必须自己构造 http.Server。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 必须显式设置
TLSConfig.MinVersion: tls.VersionTLS12，否则默认支持 TLS 1.0/1.1，现代浏览器会警告甚至阻断 - 若需禁用弱密码套件，应在
TLSConfig.CipherSuites中显式列出（如tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256），而非依赖默认值 - 不要在调用
srv.ListenAndServeTLS后再赋值srv.TLSConfig——已无效；必须在调用前完成赋值 - 别同时调
r.RunTLS和srv.ListenAndServeTLS，端口冲突导致address already in use
HTTP 自动跳转 HTTPS 必须另起 goroutine 监听 :80
r.RunTLS 只监听 HTTPS 端口，对 HTTP 请求完全无感知。用户访问 http://example.com 不会自动跳转，而是连接超时或被防火墙拦截。
- 必须启动第二个独立的
http.Server监听:80，并在其 handler 中用http.Redirect(w, r, "https://"+r.Host+r.RequestURI, http.StatusMovedPermanently) - 注意 Host 头透传——若用
"https://example.com"写死，会导致所有请求都跳到固定域名，丢失子域或端口信息 - 别试图在主路由里用中间件拦截 HTTP 请求来跳转——HTTPS server 根本收不到这些请求
- Let’s Encrypt 证书不能靠 Gin 自动续期；
fullchain.pem和privkey.pem过期后服务直接中断，需配合certmagic或 cron +acme.sh实现热更新
最易忽略的是证书链完整性与私钥权限的组合效应：即便路径全对、格式正确，只要 cert.pem 缺中间 CA 或 key.pem 权限是 0644，Go 就会以几乎相同的错误日志拒载——而你得靠排除法才能定位到底是哪一环出了问题。
