必须用 http.Transport 配置 TLS 并显式传 Authorization 头，因 elastic/v7 默认不启用 TLS 校验和自动注入 Basic Auth；启用了安全的 ES 会返回 401 或 x509 错误，需手动配置 Transport 和 Header 才能连通。
必须用 http.Transport 配置 TLS，并在请求头中显式传 Authorization，否则 Go 客户端连不上启用了安全功能的 Elasticsearch。
为什么默认的 elastic.NewClient() 会失败
Go 的官方客户端 elastic（v7）或社区主流的 olivere/elastic 默认不启用 TLS 验证，也不自动注入 Basic Auth。当你启用了 xpack.security.enabled: true 的 ES 集群（比如 8.x 或 7.10+），且配置了 HTTPS + 用户密码后，直接用 elastic.NewClient(elastic.SetURL("https://...")) 会报错：401 Unauthorized 或 x509: certificate signed by unknown authority。
这不是客户端 bug，而是设计使然：它把传输层和认证层完全交由你控制，避免隐式行为掩盖安全风险。
- 证书校验失败 → 没配
http.Transport.TLSClientConfig - 401 错误 → 没在请求头里塞
Authorization: Basic ... - 即使配了证书，若 ES 用的是自签名 CA，还必须显式设置
InsecureSkipVerify: true（仅限测试）或加载 CA 证书
配置 TLS 连接：绕过证书校验 or 加载可信 CA
生产环境绝不能设 InsecureSkipVerify: true。正确做法是让 Go 客户端信任你的 ES 集群 CA 证书。
立即学习“go语言免费学习笔记（深入）”；
假设你已用 elasticsearch-certutil 生成了 ca.crt，把它读入 http.Transport：
caCert, _ := ioutil.ReadFile("/path/to/ca.crt")
caCertPool := x509.NewCertPool()
caCertPool.AppendCertsFromPEM(caCert)
transport := &http.Transport{
TLSClientConfig: &tls.Config{RootCAs: caCertPool},
}
client, _ := elastic.NewClient(
elastic.SetURL("https://es.example.com:9200"),
elastic.SetHttpClient(&http.Client{Transport: transport}),
)
如果只是本地开发测试，临时跳过验证（仅限非生产）：
transport := &http.Transport{
TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}
传 Basic Auth：别依赖 SetBasicAuth() 的隐式行为
elastic.SetBasicAuth("user", "pass") 看似方便，但它只对部分 API 生效（如 Ping、Info），很多操作（如 Search、Index）会忽略它 —— 因为底层是复用同一个 HTTP client，但鉴权逻辑没透传到每个 request。
最稳的方式是手动构造 Authorization 头：
auth := base64.StdEncoding.EncodeToString([]byte("user:pass"))
hdr := http.Header{}
hdr.Set("Authorization", "Basic "+auth)
client, _ := elastic.NewClient(
elastic.SetURL("https://es.example.com:9200"),
elastic.SetHttpClient(&http.Client{
Transport: transport,
// 注意：这里必须设 Header，不能只靠 SetBasicAuth
CheckRedirect: func(req *http.Request, via []*http.Request) error {
req.Header = hdr // 确保重定向时也带认证头
return nil
},
}),
)
- ES 8.x 默认要求 HTTPS + Basic Auth，
elasticv7.x 对 8.x 兼容性一般，建议升级到github.com/elastic/go-elasticsearch/v8 - 新版
go-elasticsearch/v8支持esconfig.FromURL("https://user:pass@...")，但依然推荐显式传http.Client，便于统一控制 TLS 和超时 - 密码含特殊字符（如
@、/）时，必须先 URL encode 再拼进 URL，否则解析失败
API Key 方式更安全，但需额外生成
ES 8.x 推荐用 API Key 替代用户名密码，避免长期凭证泄露。生成后，Header 改为：
hdr.Set("Authorization", "ApiKey "+base64.StdEncoding.EncodeToString([]byte("id:api_key")))
注意：id 和 api_key 是两段 Base64 字符串，中间用冒号连接，不能直接用原始字符串。
生成命令示例（需用 elastic 用户调用）：
curl -X POST "https://es.example.com:9200/_security/api_key" \
-H "Content-Type: application/json" \
-u elastic:your_password \
-d '{"name": "my-go-app"}'
返回的 id 和 api_key 必须安全保存，它们不可再查 —— 这点容易被忽略，一旦丢失只能重建。
