必须用 app.ListenTLS，因 *fiber.App 未实现 http.Handler 接口，无法传入 http.ListenAndServeTLS；硬转会导致类型错误 panic。
必须用 app.ListenTLS，不能套 http.ListenAndServeTLS —— 否则编译失败或 panic。
为什么不能直接传 app 给 http.ListenAndServeTLS
Fiber 的 *fiber.App 不是 http.Handler 类型，它内部封装了路由、中间件、上下文等逻辑，并未实现标准库的 http.Handler 接口（v2/v3 均如此）。硬塞进去会报错：
cannot use app (type *fiber.App) as type http.Handler
这不是“少导包”或“写错参数”的问题，是类型系统直接拦截的错误。
-
app.ListenTLS是 Fiber 自己封装的 TLS 启动入口，内部调用tls.Listen+ 构造http.Server - 若需自定义
http.Server字段（如ReadTimeout），得用app.Listener()手动构造http.Server，再调srv.ListenAndServeTLS - 别信“加个
.Handler()就能转”的说法——Fiber 没提供这个方法
ListenTLS 的证书路径和内容要求
调用 app.ListenTLS(":443", "fullchain.pem", "key.pem") 看似简单，但两个文件稍有偏差就会静默失败或握手报错。
-
fullchain.pem必须包含：域名证书 + 所有中间 CA 证书（例如 Let’s Encrypt 的chain.pem）；只放cert.pem会导致 iOS/Java 客户端报x509: certificate signed by unknown authority - 合并命令：
cat cert.pem chain.pem > fullchain.pem - 私钥
key.pem必须未加密（不能用openssl genrsa -aes256直接生成），否则握手阶段卡住，日志里几乎不提示原因；解密命令：openssl rsa -in key.pem.enc -out key.pem - 文件换行符必须为 LF（Unix 风格），含 CRLF 会报
tls: failed to find any PEM data；修复：dos2unix fullchain.pem key.pem - Linux 下私钥权限建议设为
0600，虽然 Fiber 不校验，但 Go 标准库crypto/tls会拒绝加载 0644 权限的私钥
自签名证书调试时的常见坑
开发环境用自签名证书，Chrome 90+ 会直接拒绝连接，报 ERR_CERT_COMMON_NAME_INVALID，不是配置错了，是证书本身缺关键字段。
- 生成时必须加
-addext "subjectAltName = DNS:localhost,IP:127.0.0.1"（注意同时覆盖 DNS 和 IP） - 命令示例：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -addext "subjectAltName = DNS:localhost,IP:127.0.0.1" - 生成后仍要合并成
fullchain.pem（此时cert.pem就是完整链，可跳过cat步骤，但文件名保持一致更稳妥） - 浏览器访问时，地址栏必须写
https://localhost:443或https://127.0.0.1:443，不能省略端口（除非监听默认 443）
最易被忽略的是证书链完整性与私钥加密状态——它们不会在启动时报错，而是在第一个 HTTPS 请求到来时才暴露，且错误信息极不直观。宁可多跑一遍 openssl x509 -in fullchain.pem -text -noout 确认是否含中间证书，也别靠“启动没报错”就认为配对成功。
