Beego原生不支持mTLS，必须绕过HTTP层手动接管TLS：需用tls.Listen创建监听器并传入含ClientAuth=RequireAndVerifyClientCert和完整CA根证书池的tls.Config，再通过http.Serve(ln, beego.BeeApp.Handlers)交由Beego处理，同时禁用EnableHTTPS等内置配置。
Beego原生不支持mTLS，必须绕过HTTP层手动接管TLS
Beego的EnableHTTPS和EnableHttpTLS只开启单向HTTPS，它底层调用的是http.Server，而http.Server根本不暴露tls.Config.ClientAuth等双向认证所需字段。想做mTLS，就得放弃Beego内置的HTTPS启动方式，自己用net.Listen + tls.Listen创建监听器，再把连接手动交给Beego的app.Handlers处理。
常见错误现象：curl -k --cert client.pem --key client.key https://host:8080返回400 Bad Request或直接断连；Wireshark抓包显示ServerHello后立刻收到Alert（level=2, description=42），说明服务端拒绝了Client Certificate。
- 必须用
tls.Listen("tcp", ":443", tlsConfig)代替beego.BeeApp.Run() -
tlsConfig中ClientAuth必须设为tls.RequireAndVerifyClientCert，设成tls.VerifyClientCertIfGiven等于没开 -
ClientCAs要加载CA根证书池（*x509.CertPool），不是客户端证书本身；用io/ioutil.ReadFile读取PEM后调用caPool.AppendCertsFromPEM() - 私钥文件权限必须是
0600，否则Go会静默fallback到HTTP，日志里没有任何提示
如何把TLS连接转给Beego路由处理器
Beego的app.Handlers是一个http.Handler，但它不认tls.Conn——你得把加密连接包装成http.Conn语义。最简做法是用http.Serve直接喂给beego.BeeApp.Handlers：
ln, _ := tls.Listen("tcp", ":443", tlsConfig)
http.Serve(ln, beego.BeeApp.Handlers)
注意：这会跳过Beego所有启动逻辑（如app.conf里的Graceful、EnableDocs等），所以app.conf里EnableHTTPS=true这类配置要全部删掉，否则会冲突启动两个监听器。
- 不能用
beego.Run()，它内部会调用http.ListenAndServeTLS，无法传入自定义tls.Config - 若需Graceful重启，得自己集成
github.com/soheilhy/cmux或golang.org/x/net/http2，Beego 1.x无原生支持 - 静态文件服务（
beego.StaticDir）仍有效，但路径匹配逻辑由Beego Handler统一处理，无需额外配置
客户端证书身份怎么在Handler里提取
Beego的Controller.Ctx.Request.TLS在mTLS下有值，但Request.TLS.PeerCertificates是空的——因为http.Server默认不解析客户端证书链。你得在tls.Config.GetConfigForClient回调里手动注入，或者更直接：在http.Handler里从Request.TLS取。
实操建议：
- 在
Controller.Init()或Prepare()里加：if len(c.Ctx.Request.TLS.PeerCertificates) > 0 { cn := c.Ctx.Request.TLS.PeerCertificates[0].Subject.CommonName } - 不要依赖
CommonName做权限判断，它易伪造；应校验PeerCertificates[0].URIs（SPIFFE ID）或自定义X.509扩展字段 - 若用自签名CA，客户端和服务端的根证书必须完全一致，否则
PeerCertificates为空，Request.TLS.VerifiedChains也为空 - curl测试时务必加
--cacert ca-root.pem，否则握手失败，错误信息是remote error: tls: bad certificate
多级证书链（如中间CA）怎么配
Beego原生HTTPS配置只接受单个HTTPSCertFile，但mTLS场景下服务端证书文件必须包含完整链（服务器证书 + 中间CA证书），否则客户端（尤其是Java/Android）会因无法构建信任链而拒绝连接。
正确做法：
- 把服务器证书和中间CA证书拼成一个PEM文件：
cat server.crt intermediate.crt > fullchain.pem -
tls.X509KeyPair(fullchain.pem, key.pem)才能让客户端验证通过 - 客户端证书验证时，
ClientCAs只需填根CA证书（root.crt），不需要中间CA - 若用OpenSSL命令检查链是否完整：
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt，输出OK才算合格
最容易被忽略的是：Beego的app.conf里HTTPSCertFile和HTTPSKeyFile字段在手动TLS模式下完全无效，所有证书路径必须硬编码在Go代码里，且fullchain.pem不能漏掉中间证书。
