必须用Echo自带的StartTLS方法启动HTTPS，不可用http.ListenAndServeTLS；需确保证书链完整、私钥未加密且权限为0600、含SAN字段、换行符为LF。
直接用 e.StartTLS 启动，别碰 http.ListenAndServeTLS
Go 标准库的 http.ListenAndServeTLS 接收 http.Handler，但 Echo 的 *echo.Echo 不是该接口类型（v4 仍不直接实现），硬传会编译失败或 panic 报 cannot use e (type *echo.Echo) as type http.Handler。必须用 Echo 自带的 StartTLS 方法。
它内部自动处理证书加载、端口绑定和 TLS 配置，调用方式简洁：
e := echo.New()
// ... 注册路由、中间件等
e.StartTLS(":443", "server.crt", "server.key")
- 地址格式必须带冒号，如
":443"或"localhost:8443"；填"443"会启动失败 - 证书路径是相对或绝对路径，若文件不在当前工作目录，需传完整路径
- 框架不会帮你校验私钥是否加密——如果
server.key是用openssl genrsa -aes256生成的，StartTLS会在握手阶段卡住，无明确错误提示
证书链必须完整，否则 iOS/Java 客户端直接报错
Let’s Encrypt 用户常只放 cert.pem，漏掉中间 CA，导致 curl 提示 unable to get local issuer certificate，iOS App 或 Java HttpClient 直接拒绝连接，错误日志里只有模糊的 tls: bad certificate。
正确做法是把域名证书和中间证书拼成一个 PEM 文件（即 Let’s Encrypt 的 fullchain.pem）：
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
cat your_domain.crt intermediate.crt > server.crt
- 顺序不能反：先域名证书，再中间 CA；倒过来会导致部分客户端解析失败
- 自签名证书用于本地开发时，必须含 SAN（Subject Alternative Name），否则 Chrome 117+、Firefox 119+ 拒绝访问；用
mkcert localhost 127.0.0.1 ::1最省事，它自动生成合规证书 - 证书文件若混入 Windows 的 CRLF 换行符，
StartTLS会静默失败或报tls: failed to find any PEM data in certificate input；用dos2unix server.crt server.key修复
私钥权限和格式是 Linux/macOS 上最常见的启动拦路虎
Go 的 crypto/tls 包在 Unix 系统上强制要求私钥文件权限为 0600。若权限是 0644（比如 Git 检出或编辑器保存导致），StartTLS 可能直接退出，错误提示却是误导性的 accept tcp: operation not permitted。
验证和修复命令：
ls -l server.key chmod 0600 server.key
- 私钥必须是未加密的 PEM 格式（即生成时用了
-nodes）；带密码的私钥无法被加载 - 可用
openssl rsa -in server.key -check -noout快速确认私钥有效性；若报错，说明格式损坏或加密了 - 不要用
openssl pkcs8转换私钥格式——Echo 依赖tls.LoadX509KeyPair，只认传统 PEM 私钥头-----BEGIN RSA PRIVATE KEY-----，不支持 PKCS#8 的-----BEGIN PRIVATE KEY-----
HTTP 自动跳转 HTTPS 需额外监听 + 重定向，框架不内置
Echo 的 StartTLS 只管 HTTPS 端口，不会自动接管 HTTP 流量。要实现用户访问 http://example.com 时自动跳转到 https://example.com，必须显式启动一个 HTTP 服务做 301 重定向。
典型写法：
go func() {
http.Redirect(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
http.Redirect(w, r, "https://"+r.Host+r.RequestURI, http.StatusMovedPermanently)
}), ":80", http.StatusMovedPermanently)
}()
e.StartTLS(":443", "server.crt", "server.key")
- 注意 Host 头可能被篡改，生产环境建议用固定域名代替
r.Host - 两个监听不能共用同一端口，
:80和:443必须分开；若端口被占用，StartTLS会 panic 报listen tcp :443: bind: permission denied（Linux 下非 root 进程不能绑定 1–1023 端口） - 没有“一键全站 HTTPS”开关——安全不是配置项，是监听行为本身；任何在 Handler 里修改响应头或加中间件模拟 HTTPS 的做法都无效，HTTP 流量在 TCP 层仍是明文
