Go中mTLS必须设ClientAuth为tls.RequireAndVerifyClientCert并配置非空ClientCAs，否则静默降级为单向TLS；客户端需加载0600权限私钥、完整证书链及正确RootCAs，gRPC与HTTP配置不互通。
Go 里配 mTLS 不是“把证书文件丢进去就通了”，服务端必须设 ClientAuth: tls.RequireAndVerifyClientCert 并加载非空的 ClientCAs，否则连接静默降级为单向 TLS，连错误都不报。
服务端必须显式启用并验证客户端证书
默认的 http.ListenAndServeTLS 或 grpc.Creds(credentials.NewTLS(...)) 构造的 tls.Config 中，ClientAuth 值是 tls.NoClientCert，等于完全关闭双向流程。哪怕你传了 ClientCAs，只要没改 ClientAuth，客户端不发证书也不报错。
-
ClientAuth必须设为tls.RequireAndVerifyClientCert—— 这是唯一能确保双向生效的值；RequireAnyClientCert只验格式，VerifyClientCertIfGiven允许跳过，都不满足零信任前提 -
ClientCAs必须是已加载 PEM 根证书的*x509.CertPool，不能只声明变量不填充；常见错误是pool := x509.NewCertPool()后没调AppendCertsFromPEM() - 服务端自己的证书仍走
Certificates字段，和单向 HTTPS 完全一致；别把服务端证书或客户端证书塞进ClientCAs，会校验失败 - 若用
http.Server，必须手动赋值srv.TLSConfig = &tls.Config{...}，再调srv.ListenAndServeTLS("", "")；传空字符串可避免被默认逻辑覆盖
客户端必须主动提供证书且信任服务端 CA
Go 的 http.DefaultTransport 和 grpc.Dial 默认都不发客户端证书，也不校验服务端证书链——除非你手动构造 tls.Config 并注入 Transport 或 Credentials。
- 用
tls.LoadX509KeyPair("client.crt", "client.key")加载客户端证书和私钥；私钥文件权限必须是0600，否则 Go 静默返回空tls.Certificate -
client.crt必须包含完整链：leaf 证书在前，中间 CA 在后；root CA 单独交给RootCAs，不能混入 -
http.Transport.TLSClientConfig.RootCAs必须填入服务端 CA 的根证书池（不是服务端公钥证书），否则报x509: certificate signed by unknown authority - 若服务端证书 SAN 不含请求域名或 IP，必须显式设置
ServerName字段，否则触发x509: certificate is valid for xxx, not yyy
gRPC 场景下 mTLS 配置与 HTTP 不互通
gRPC 不复用 http.Server 的 TLS 配置，也不接受 http.ListenAndServeTLS 的参数。它的 mTLS 是独立路径，且服务端/客户端配置缺一不可。
立即学习“go语言免费学习笔记（深入）”；
- 服务端启动时必须用
grpc.Creds(credentials.NewTLS(tlsConfig))，其中tlsConfig同样要设ClientAuth: tls.RequireAndVerifyClientCert和非空ClientCAs - 客户端
grpc.Dial()要用grpc.WithTransportCredentials(creds)，creds必须由credentials.NewTLS(&tls.Config{Certificates: [...]})构造 - gRPC 框架不会自动把客户端证书信息注入
context；需在UnaryInterceptor中通过peer.AuthInfo断言获取credentials.TLSInfo，再从VerifiedChains[0][0].Subject提取身份 - 别用
InsecureSkipVerify: true上线，它会跳过服务端证书校验，mTLS 安全性归零
常见握手失败错误定位要点
x509: certificate signed by unknown authority 和 remote error: tls: bad certificate 看似一样，但根源完全不同，得看谁在做验证动作。
- 服务端报
remote error: tls: bad certificate？检查ClientCAs是否加载了正确的根证书（不是客户端证书，是签发客户端证书的那个 CA 的公钥） - 客户端报
x509: certificate signed by unknown authority？先确认RootCAs里有没有服务端证书的签发者；再检查服务端证书是否过期、SAN 是否匹配、是否被吊销 - 双方都用了私有 CA 却只互相给了 leaf 证书？这是最典型的配置遗漏：服务端需要 client 的 root CA，客户端需要 server 的 root CA，二者不互通
- 用
openssl s_client -connect host:port -showcerts测试时加-showcerts，能直观看到对方实际发了哪些证书，比看日志更直接
最易被忽略的是：服务端 ClientCAs 和客户端 RootCAs 必须字节级一致；哪怕只是换行符不同，握手也会失败，且错误信息毫无提示。
