必须显式设置tls.Config.RootCAs，nil值不会回退到系统默认证书池，否则导致x509: certificate signed by unknown authority错误；需用x509.NewCertPool()创建池并调用AppendCertsFromPEM()加载PEM格式根证书，同时确保ServerName正确设置。
tls.Config.RootCAs 必须显式设置，nil 值不等于“用系统默认”
Go 的 http.Client 或 tls.Dial 在未配置 tls.Config 时，会尝试加载系统根证书；但一旦你传入了自定义 tls.Config，哪怕只设了一个字段（比如 ServerName），RootCAs 就默认为 nil —— 此时它**不会 fallback 到系统证书池**，而是彻底禁用证书验证，导致 x509: certificate signed by unknown authority 错误。
所以不能只写：tlsConfig := &tls.Config{ServerName: "api.example.com"}
必须显式构造并赋值 RootCAs。
- 若只要信任自定义 CA，直接新建空池 +
AppendCertsFromPEM() - 若需同时信任系统 CA 和自定义 CA，先调用
x509.SystemCertPool()（Go ≥ 1.18），再追加自定义证书 - Alpine Linux、Docker scratch 镜像等环境压根没有系统证书目录，
x509.SystemCertPool()返回nil，此时必须手动加载全部信任根
读取 .crt 文件必须用 PEM 格式，且只能是证书内容
AppendCertsFromPEM() 只接受 PEM 编码的证书块（即以 -----BEGIN CERTIFICATE----- 开头、-----END CERTIFICATE----- 结尾的文本），不能是私钥、中间证书、PKCS#12 或 DER 格式文件。
常见错误：
- 把
key.pem或cert.pfx直接喂给AppendCertsFromPEM()→ 静默失败（返回false），证书没加进去 - 证书文件含 Windows 换行符（CRLF）或 BOM →
AppendCertsFromPEM()解析失败，返回false - 用了自签名证书但没在生成时加
subjectAltName（如DNS:localhost）→ Go ≥ 1.19 握手直接失败，报x509: certificate is not valid for any names
验证方式：用 cat my.crt | head -n 2 确认开头是 -----BEGIN CERTIFICATE-----；用 file my.crt 确认是 “ASCII text” 而非 “data”。
立即学习“go语言免费学习笔记（深入）”；
http.Transport.TLSClientConfig 是实际生效位置
对 http.Client 来说，TLS 配置不是写在 Client 字段里，而是通过 Transport 的 TLSClientConfig 字段注入。漏掉这步，你的 tls.Config 完全不会生效。
典型写法：
certPool := x509.NewCertPool()
pemData, _ := os.ReadFile("ca.crt")
certPool.AppendCertsFromPEM(pemData)
client := &http.Client{
Transport: &http.Transport{
TLSClientConfig: &tls.Config{
RootCAs: certPool,
ServerName: "api.example.com", // 必须设，尤其当用 IP 访问或泛域名证书时
},
},
}
-
ServerName不填或填错（比如填 IP 地址而非域名）→ SNI 不发送，且证书域名校验失败 - 如果服务端用的是私有 CA 签发的泛域名证书（如
*.internal），ServerName必须匹配该通配符，不能填具体子域名以外的值 - 别设
InsecureSkipVerify: true—— 这会让整个 TLS 校验逻辑跳过，连 SNI、ALPN、证书有效期都不检查，CI/CD 应扫描拦截
go-elasticsearch 等 SDK 提供了更简捷的 CACert 入口
很多 Go 生态 SDK（如 go-elasticsearch、redis-go、pgx）封装了底层 TLS 配置，允许你直接传入原始 PEM 字节作为 CACert，内部自动构建 RootCAs。这比手写 tls.Config 更少出错。
例如 go-elasticsearch/v9：
certData, _ := os.ReadFile("ca.crt")
es, _ := elasticsearch.NewClient(elasticsearch.Config{
Addresses: []string{"https://es.internal:9200"},
CACert: certData, // 自动 new CertPool + AppendCertsFromPEM
})
但注意：
- 这种快捷方式通常**不支持同时加载系统 CA + 自定义 CA**，只覆盖信任池
- 仍需确保
CACert是纯 PEM 证书内容，不能混入注释或多余空行 - SDK 版本差异大：v7 和 v8 的字段名可能是
CAFile或CaCert，看文档确认
最易被忽略的一点：证书文件路径在容器中可能不存在，或挂载权限不足 —— os.ReadFile 报 permission denied 或 no such file 时，别急着改代码，先 ls -l 看文件是否真在运行路径下、是否可读。
