Go服务必须自身启用HTTPS，不能仅依赖Nginx TLS终止；因内网流量未加密易被嗅探，且X-Forwarded-Proto等头可伪造导致协议误判。
Go 语言生产环境必须用 HTTPS，不能靠反向代理“代劳” TLS 终止就认为安全了——http.ListenAndServe 默认不加密，直接暴露 HTTP 端口等于把明文流量扔在公网裸奔。
为什么不能只依赖 Nginx 做 TLS 终止？
很多团队图省事，在 Nginx 层做 HTTPS 解密，后端 Go 服务仍走 http.ListenAndServe 走纯 HTTP。这看似可行，但存在两个硬伤：
- 内网流量未加密：如果 Go 服务与 Nginx 不在同一台机器（比如跨节点、跨 VPC），中间链路可能被嗅探或篡改；
- HTTP 头可伪造：
X-Forwarded-Proto等头字段容易被恶意客户端构造，导致 Go 应用误判协议类型，触发重定向循环或权限绕过。
真正安全的做法是：Go 服务自身支持 TLS，并由 http.ListenAndServeTLS 启动。
http.ListenAndServeTLS 的最小可用配置
只需两步：准备证书文件 + 替换启动函数。不需要额外库，标准库全支持。
立即学习“go语言免费学习笔记（深入）”；
证书要求：
-
cert.pem：必须是 PEM 格式，包含完整证书链（leaf + intermediate）； -
key.pem：私钥必须是未加密的（即无密码保护），否则ListenAndServeTLS会静默失败； - 私钥权限必须为
0600，否则 Go 运行时报open /path/key.pem: permission denied。
代码示例：
func main() {
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("OK"))
})
log.Fatal(http.ListenAndServeTLS(":443", "cert.pem", "key.pem"))
}
注意：:443 需要 root 权限；若不想用 root，可监听非特权端口（如 :8443），再由 Nginx 或云 LB 做端口转发。
证书自动续期与热加载怎么做？
Let’s Encrypt 证书 90 天过期，硬重启服务会导致连接中断。不能靠 kill -HUP —— Go 的 http.Server 不支持信号热重载证书。
可行方案只有两种：
- 用
net.Listener+tls.Config.GetCertificate实现运行时证书切换（需自己解析证书、监听文件变化、调用srv.Serve(lis)）； - 更推荐：用
systemd配合ExecReload执行平滑重启（kill -USR2），前提是你的服务已实现 socket 激活或文件描述符传递（例如用github.com/braintree/manners或原生net/http.Server.Shutdown）。
简单起见，多数生产服务选择后者：写个 reload 脚本，先 kill -USR2 触发优雅退出，再 systemctl start 新实例。关键点是确保旧连接处理完再关，避免 502。
常见错误：证书校验失败或连接被重置
现象包括浏览器提示“NET::ERR_CERT_AUTHORITY_INVALID”、curl 报 SSL certificate problem: unable to get local issuer certificate。
排查顺序：
- 检查
cert.pem是否包含中间证书（用openssl crl2pkcs7 -nocrl -certfile cert.pem | openssl pkcs7 -print_certs -noout查看链长度）； - 确认私钥和证书公钥匹配：
openssl x509 -noout -modulus -in cert.pem | openssl md5和openssl rsa -noout -modulus -in key.pem | openssl md5输出是否一致； - Go 服务日志是否输出
accept tcp [::]:443: use of closed network connection？说明ListenAndServeTLS已 panic 退出，大概率是文件路径错或权限不足。
最易忽略的一点：如果你用的是通配符证书（*.example.com），但访问的是 www.example.com，而证书 SAN 中没显式列出该域名，浏览器就会拒绝——Go 不做额外校验，但客户端会。
