router.RunTLS无法自动跳转HTTPS，因为它仅监听HTTPS端口（如:443），对HTTP请求完全无感知；用户访问http://example.com时连接被拒绝或超时，Gin不拦截、不转发、也不重定向——这是设计使然，HTTP与HTTPS在Go中是两个独立的http.Server实例，必须手动启动两个服务分别处理跳转与业务。
为什么 router.RunTLS 无法自动跳转 HTTPS
router.RunTLS 只监听 HTTPS 端口（如 :443），对 HTTP 请求完全无感知。用户访问 http://example.com 时，连接会被拒绝或超时，Gin 不会拦截、不转发、也不重定向——这不是 bug，是设计使然。HTTP 和 HTTPS 在 Go 的 net/http 层就是两个独立的 http.Server 实例，Gin 作为路由层，不负责协议切换。
必须启动两个独立服务：HTTP 跳转 + HTTPS 主服务
真正的全站 HTTPS 跳转，需要显式启动两个 goroutine：
- 一个
http.Server监听:80（或开发用:8080），仅做301重定向，不注册任何路由 - 另一个
http.Server用router.RunTLS或自定义 TLS 配置监听:443，承载全部业务逻辑 - 两者不能共用同一个
http.Server，也不能在 HTTPS 的Use()中写跳转中间件——HTTP 请求根本到不了那里
示例关键片段：
<pre class="brush:php;toolbar:false;">go func() {
http.ListenAndServe(":80", http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
host := r.Host
if port := r.URL.Port(); port != "" && port != "80" {
host = strings.Split(host, ":")[0] // 清除非标准端口
}
http.Redirect(w, r, "https://"+host+r.RequestURI, http.StatusMovedPermanently)
}))
}()
router.RunTLS(":443", "cert.pem", "key.pem")
301 还是 302？别让 http.Redirect 默认坑你
http.Redirect 默认发 <code>302，浏览器每次都会重新解析域名、建立新连接，影响 SEO 和首屏性能。生产环境必须强制 http.StatusMovedPermanently（即 301）。
- 不要依赖框架封装的“重定向中间件”，比如
secure.New(Options{SSLRedirect:true})—— 它只作用于已到达 HTTPS 服务的请求，对 HTTP 入口无效 - 注意
r.Host可能带端口（如localhost:8080），跳转时需清洗，否则变成https://localhost:8080/xxx，导致证书错误或连接失败 - 务必透传
r.RequestURI，而不是r.URL.Path，否则查询参数（?a=1&b=2）会丢失
证书路径和文件权限是线上崩点高发区
router.RunTLS(":443", "cert.pem", "key.pem") 看似简单，但极易静默失败：
- 路径必须是绝对路径；
"./cert.pem"在 systemd、Docker 或 IDE 启动时很可能找不到文件 - 私钥文件权限不能是
0644，Go 的crypto/tls会拒绝加载，报错：tls: failed to load key pair，应设为0600 - 两个参数都不能为空字符串；传
""会导致 TLS 初始化 panic，不是返回 error - 上线前加校验：
os.Stat("cert.pem")和tls.LoadX509KeyPair("cert.pem", "key.pem")，早暴露问题
如果用 Let’s Encrypt，别指望 Gin 自动续期——得引入 certmagic，一行代码：certmagic.HTTPS([]string{"example.com"}, router)。
真实部署时，前置 Nginx 或云 LB 通常已处理跳转，这时无需手动启 HTTP 服务；只有 Gin 直面公网（如裸机或单容器部署）才必须自己实现这两路服务。
