禁用InsecureSkipVerify是底线要求，证书与密钥不得硬编码或入Git，内存中敏感数据需及时擦除；三者缺一即导致TLS防线失效。
Go语言配置安全连接防泄漏，核心在于三件事：不跳过证书校验、不暴露明文密钥、不让敏感数据滞留内存。跳过其中任一环，InsecureSkipVerify: true 或硬编码 server.key 路径，都等于把 TLS 防线撕开一道口子。
禁用 InsecureSkipVerify 是底线要求
生产环境绝对不能设 InsecureSkipVerify: true。它会让客户端完全忽略服务器证书有效性，中间人可伪造任意证书完成握手，所有流量形同裸奔。
- 必须显式设置
InsecureSkipVerify: false（默认值，但建议写出来增强可读性） - 若需自定义证书校验逻辑（如对接私有 CA），应实现
TLSClientConfig.VerifyPeerCertificate回调，而非关闭校验 - 使用系统根证书池时，确保运行环境已预装可信 CA（如 Alpine 需安装
ca-certificates包）
证书与密钥文件不能硬编码或放源码库
http.ListenAndServeTLS(":443", "server.crt", "server.key") 这种写法在开发阶段方便，但上线即成风险点：证书私钥一旦进 Git，就不可撤销。
- 证书路径应通过环境变量传入，例如
os.Getenv("TLS_CERT_PATH")，启动时由运维注入 - 私钥文件权限必须严格限制（Linux 下
chmod 600 server.key），且不应与 Web 根目录同属一个用户 - 考虑使用 secret manager（如 HashiCorp Vault、AWS Secrets Manager）动态加载证书内容，避免落地文件
内存中敏感数据要及时擦除
TLS 握手过程中，私钥解密、会话密钥生成等操作会在内存中短暂存在敏感材料。Go 默认不会自动清零这些字节，若进程内存被 dump，可能泄露。
立即学习“go语言免费学习笔记（深入）”；
- 不要用
[]byte直接存私钥原始内容；改用memguard.Lock等受保护内存区（需引入github.com/awnumar/memguard） - 若自行解析 PEM 私钥，用完后立即调用
bytes.Fill(keyBytes, 0)清零，再runtime.GC()提示回收（注意：GC 不保证立即执行） - 避免将证书内容长期缓存在全局变量或结构体字段中，尤其跨 goroutine 共享时
最易被忽略的是：即使 TLS 配置全对，若后续 HTTP 响应里带了 Set-Cookie 且没加 Secure 和 HttpOnly 标志，或者日志里打印了 r.Header.Get("Authorization")，前面所有加密努力都会被绕过。安全连接只是起点，不是终点。
