因http.Server启动后深拷贝*tls.Config，后续修改不生效；必须用GetCertificate回调动态提供证书，配合原子变量或锁管理内存中证书实例，并做好加载失败兜底。
证书热更新为什么不能直接替换 *tls.Config
因为 http.Server 启动后会把传入的 *tls.Config 深拷贝进内部结构，后续调用 srv.ServeTLS 或 srv.ListenAndServeTLS 时不会重新读取该指针指向的内容。即使你原地修改 tls.Config.Certificates 字段，也不会生效——Go 的 TLS listener 在 accept 连接时缓存的是初始化时的证书副本。
正确做法：用 tls.GetCertificate 回调动态提供证书
这是 Go 标准库唯一支持运行时切换证书的机制。它在每次 TLS 握手开始时被调用，返回当前应使用的 *tls.Certificate。你需要自己管理证书加载、解析和刷新逻辑。
- 必须将
tls.Config.GetCertificate设为非 nil 函数，Certificates字段可清空（否则会优先用它） - 回调函数里要避免阻塞或 panic；建议加锁保护证书变量，或用原子指针（如
atomic.Value） - 证书文件变更后，需重新调用
tls.LoadX509KeyPair，失败时务必返回旧证书，不能返回 nil（否则握手失败） - 示例片段：
var currentCert atomic.Value // 存 *tls.Certificate cfg := &tls.Config{ GetCertificate: func(hello *tls.ClientHelloInfo) (*tls.Certificate, error) { if cert := currentCert.Load(); cert != nil { return cert.(*tls.Certificate), nil } return nil, errors.New("no certificate loaded") }, } // 后台 goroutine 监听文件变化，成功加载后： if cert, err := tls.LoadX509KeyPair("cert.pem", "key.pem"); err == nil { currentCert.Store(&cert) }
文件监听不是必须的，但手动触发更可控
很多项目直接用 fsnotify 监听 cert.pem 和 key.pem 变更，但要注意：
- Linux 下写入新证书常用“rename 覆盖”，
fsnotify可能只收到WRITE事件而非CREATE，需监听目录并做文件内容校验 - 更稳妥的做法是暴露一个 HTTP 管理端点（如
POST /admin/reload-tls），由运维主动触发 reload，避免监听逻辑引入不确定性 - 加载失败时不要 panic，也不要覆盖旧证书；记录错误日志并保持服务可用
注意 SNI 场景下的证书选择逻辑
如果服务托管多个域名，GetCertificate 回调会收到 hello.ServerName，此时需根据域名匹配对应证书：
立即学习“go语言免费学习笔记（深入）”；
- 不要在回调里做耗时操作（如读文件、查 DB）；证书应预加载到内存 map 中
- 若
ServerName为空（客户端未发 SNI），需 fallback 到默认证书 - 证书链顺序必须正确：叶子证书在前，中间 CA 在后，根证书通常不用放进去
- 私钥格式必须是 PEM-encoded PKCS#1 或 PKCS#8；OpenSSL 生成的
pkcs8私钥需用openssl pkcs8 -in key.pem -topk8 -nocrypt -out key-pk8.pem转换
