最可靠轻量方式是tls.Dial+InsecureSkipVerify:true主动握手取PeerCertificates[0].NotAfter与time.Now().UTC()比较；因http.Client默认验证失败即报错，无法获取证书对象。
直接结论：用 tls.Dial + InsecureSkipVerify: true 主动握手，取 conn.ConnectionState().PeerCertificates[0] 的 NotAfter 字段比对 time.Now().UTC()，是最可靠、最轻量的检测方式。
为什么不能用 http.Client 直接 GET
HTTP 客户端默认会执行完整 TLS 验证，一旦证书过期、域名不匹配或签发链异常，http.Get 就直接返回 error（比如 x509: certificate has expired or is not yet valid），你根本拿不到原始证书对象。想看有效期？没机会。
- 错误现象：
Get "https://expired.example.com": x509: certificate has expired，无证书字段可读 - 正确路径：绕过验证握手 → 拿到原始证书字节 → 解析为
*x509.Certificate - 关键配置必须设
&tls.Config{InsecureSkipVerify: true}，否则握手在 TLS 层就失败了
tls.Dial 连接时必须处理的三个硬性细节
漏掉任一都可能卡死、panic 或返回错误证书：
-
timeout必须显式设置——tls.Dial默认无超时，遇到防火墙拦截或高延迟域名会永久阻塞 - 端口要拆解准确：用户输
example.com得补:443；输api.example.com:8443要用net.SplitHostPort解析，不能硬编码 -
ServerName字段必须传域名（不是 IP）：否则 SNI 不匹配，某些 CDN 或多租户服务会返回错误证书（比如默认站证书）
证书时间比较的时区与边界陷阱
NotAfter 是 UTC 时间，但本地 time.Now() 默认是系统时区（如 CST 是 UTC+8）。直接比较会导致误判提前 8 小时过期。
立即学习“go语言免费学习笔记（深入）”；
- 必须统一用
time.Now().UTC()做基准，别用time.Now() - 判断“是否即将过期”不能只写
cert.NotAfter.Before(time.Now().UTC())，得加缓冲，例如cert.NotAfter.Before(time.Now().UTC().Add(7 * 24 * time.Hour)) - 还要检查
cert.NotBefore.After(time.Now().UTC())——证书可能还没生效，这也算异常状态 - 别忽略域名匹配：
cert.VerifyNames(domain) == nil应作为附加校验，避免拿到中间 CA 证书或错误站点证书
PeerCertificates[0] 为什么总是 leaf 证书
服务端返回的证书链顺序是：leaf（你的目标证书）→ intermediate → root（通常不发）。PeerCertificates 是按此顺序填充的切片，所以 [0] 就是 leaf。但注意：
- 有些服务（如 Cloudflare）可能只返回 leaf，不带 intermediate，这时
len(PeerCertificates) == 1是正常情况 - 绝对不要取最后一个（
[-1]）或遍历找IsCA == false——逻辑冗余且易错 - 如果服务端配置错误，返回了空链或只有根证书，
PeerCertificates[0]会 panic，务必先判空
真正容易被忽略的是：证书链完整性不影响有效期检测，但会影响 VerifyNames 和后续扩展校验；如果你只关心过期时间，只要确保连得上、能取到 [0]、时间比对用 UTC，就已覆盖 95% 的生产场景。
