Go连RabbitMQ安全连接必须配TLS：需用amqps://协议、amqp.DialConfig传tls.Config（含RootCAs和ServerName），且RabbitMQ服务端须启用SSL监听并正确配置证书；否则存在中间人劫持与明文泄露风险。
Go 连 RabbitMQ 必须配 TLS 才算“安全连接”，光用 amqp:// 协议或开个防火墙不算数。生产环境不配 TLS，中间人劫持、明文密码、消息内容泄露都是真实风险。
amqp.Dial() 怎么传 TLS 配置
不能直接在 URL 里写 amqps:// 就完事——streadway/amqp 库对 TLS 的支持依赖底层 net.Conn，必须显式传入 amqp.Config 并设置 TLSClientConfig。
- 先加载证书：用
tls.LoadX509KeyPair()加载客户端证书和私钥（若 RabbitMQ 要求双向认证），或仅用tls.X509CertPool加载 CA 根证书（单向认证足够常见） - 构造
tls.Config：设RootCAs，并开启InsecureSkipVerify: false（禁用跳过验证！否则等于没配） - 传进
amqp.DialConfig()：URL 改为amqps://，且必须用amqp.DialConfig(url, config)，amqp.Dial()不支持 TLS 参数
示例关键片段：
cfg := &tls.Config{
RootCAs: certPool,
ServerName: "rabbitmq.example.com", // 必须匹配证书 CN 或 SAN
}
conn, err := amqp.DialConfig("amqps://guest:guest@rabbitmq.example.com:5671/",
amqp.Config{TLSClientConfig: cfg})
RabbitMQ 服务端 TLS 怎么开
只在 Go 端配了没用，RabbitMQ 必须监听 SSL 端口并加载对应证书，否则连接直接被拒。
立即学习“go语言免费学习笔记（深入）”；
- 确认配置文件启用了 SSL listener：
listeners.ssl.default = 5671（不能只留tcp端口） -
ssl_options.cacertfile指向 CA 根证书（供客户端验证服务端身份），certfile和keyfile是服务端证书和私钥 - 若用自签名证书，Go 客户端的
RootCAs必须包含该 CA；若用公网 CA（如 Let's Encrypt），一般系统根证书已内置，但ServerName仍需匹配 - 检查 RabbitMQ 日志是否报
SSL: hello: tls alert unknown ca—— 八成是客户端没加载对 CA，或服务端certfile路径错了
QueueDeclare 和 Publish 怎么设才不丢消息
TLS 只管传输加密，消息落盘、重启存活、崩溃恢复全靠队列和消息本身的持久化设置，这两类配置常被混为一谈，但失效逻辑完全不同。
-
ch.QueueDeclare(..., durable: true, autoDelete: false, exclusive: false, ...)：缺一不可。设durable: false，RabbitMQ 一重启队列就消失，后续ch.Publish()直接报NOT_FOUND -
ch.Publish()的amqp.Publishing中，DeliveryMode: amqp.Persistent必须显式设 —— 否则即使队列持久，消息仍存在内存，断电即丢 - 消费者侧：禁用
autoAck: true，必须手动msg.Ack()；否则进程 crash 后消息被自动标记“已处理”，永久丢失 - 别信“队列声明一次就够了”：不同服务实例可能用不同参数重声明，RabbitMQ 会校验参数一致性，不一致直接 panic，所以所有实例必须严格统一
为什么心跳和 Channel 复用比 TLS 还容易出事
线上最常崩的不是证书过期，而是连接空闲断连、Channel 跨 goroutine 复用、连接爆炸——这些问题在本地测不出，一上 K8s 或云 LB 就炸。
- 不设
Heartbeat：K8s Service、Nginx、阿里云 SLB 默认 30 秒掐空闲连接，conn.Channel()后再调ch.Publish()就 panic:send on closed channel - 全局复用
*amqp.Channel：ch不是线程安全的，两个 goroutine 同时ch.Publish()会直接 panic，必须每次消费/发布前conn.Channel()新建，用完立刻ch.Close() - 反复
amqp.Dial()：每个连接占一个 TCP 端口 + Broker 内存，QPS 上去后端口耗尽、RabbitMQ 主动close，日志里全是connection_closed_abruptly
真正难的不是配 TLS，是把连接生命周期、Channel 生命周期、队列生命周期这三层资源管理对齐——漏掉一层，监控上看不出异常，但消息就开始悄悄丢或卡死。
