GoLand内置终端和HTTP Client需手动将自签名根证书导入JBR的cacerts；调试Go程序时须在代码中显式加载rootCA.pem，因Go进程不信任系统或GoLand证书设置。
GoLand 本身不走系统代理，也不自动信任你本地的自签名根证书，所以即使你用 mkcert 把 rootCA.pem 装进了系统钥匙串或 Windows 证书管理器，GoLand 的内置终端、HTTP Client、或调试时发起的 HTTPS 请求仍会报 x509: certificate signed by unknown authority。
GoLand 内置终端和 HTTP Client 怎么信任自签名 CA
GoLand 的终端（Terminal）和内置 HTTP Client（Tools → HTTP Client）底层用的是 JetBrains 自研的网络栈，它不读取系统证书库，而是依赖自己维护的 Java 信任库（$JBR_HOME/lib/security/cacerts）。
- 找到 GoLand 使用的 JBR（JetBrains Runtime）路径：Help → About → 点「Copy」按钮，里面含
JBR_HOME路径；常见位置如/Applications/GoLand.app/Contents/jbr/Contents/Home（macOS） - 用
keytool将你的自签名根证书导入该 JRE 的cacerts：keytool -import -trustcacerts -file /path/to/rootCA.pem -alias mkcert-dev-ca -keystore "$JBR_HOME/lib/security/cacerts" -storepass changeit
（默认密码是changeit） - 重启 GoLand，内置终端执行
curl https://localhost:8443和 HTTP Client 发起请求就不再报错
GoLand 调试 Go 程序时 HTTPS 请求失败怎么办
这和 GoLand 无关，是 Go 进程自身行为。当你在 GoLand 里点「Debug」运行一个 Go 程序，它启动的是独立的 go run 或二进制进程，该进程默认只信任 Go 内置根证书池 + 显式加载的证书 —— 它完全无视 GoLand 或系统证书设置。
GoLand 2026.1.1
下载
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- 如果你的 Go 代码里用了
http.Client去调用另一个本地 HTTPS 服务（比如调自己的网关），必须手动加载rootCA.pem：caCert, _ := os.ReadFile("path/to/rootCA.pem") pool := x509.NewCertPool() pool.AppendCertsFromPEM(caCert) client := &http.Client{ Transport: &http.Transport{ TLSClientConfig: &tls.Config{RootCAs: pool}, }, } - 不要指望
InsecureSkipVerify: true—— 它会让 ALPN 失效、SNI 被忽略，且 GoLand 的 Debug 控制台里看不到真实握手错误，排查更难 - 路径别写相对路径：
"./rootCA.pem"在 Debug 模式下工作目录可能是项目根、也可能是临时构建目录，建议用filepath.Join(filepath.Dir(os.Args[0]), "rootCA.pem")或环境变量控制
为什么改了系统证书、浏览器能过，GoLand 还是报错
因为三者信任链完全隔离：
- 浏览器（Chrome/Safari/Edge）：各自维护证书存储，不共享系统钥匙串（尤其 macOS Chrome）
- Go 运行时：只认
x509.SystemCertPool()（Linux/macOS 读/etc/ssl/certs，Windows 读注册表，但不读用户钥匙串）+ 显式AppendCertsFromPEM() - GoLand（JBR）：只认自己 JRE 下的
cacerts，和系统、Go、浏览器全无关系
你得分别处理这三套体系，漏掉任何一环，对应场景就会失败。最常被忽略的是：GoLand 调试时你以为改了系统证书就够了，其实 Go 进程根本没看那一眼。
