本文介绍如何通过自定义 tls.config 实现 go 标准库 http.server 对多个域名（sni）的 tls 证书动态分发，解决 http.listenandservetls 单证书限制问题。
本文介绍如何通过自定义 tls.config 实现 go 标准库 http.server 对多个域名（sni）的 tls 证书动态分发，解决 http.listenandservetls 单证书限制问题。
在 Go 的标准 HTTP 库中，http.ListenAndServeTLS(addr, certFile, keyFile) 接口仅支持加载单对 TLS 证书与私钥，无法直接满足多域名（如 example.com、api.example.org、blog.test）共用同一 HTTPS 端口（如 443）并各自提供对应证书的需求。该场景本质上依赖 TLS 协议的 SNI（Server Name Indication） 扩展——客户端在 TLS 握手初期即声明目标域名，服务端据此选择匹配的证书链返回。
要实现多证书支持，核心思路是：绕过高层封装，直接构造 http.Server 并配置具备多证书能力的 tls.Config。Go 的 crypto/tls 包原生支持 SNI 分发，只需将多个 tls.Certificate 实例添加至 tls.Config.Certificates 切片，并调用 BuildNameToCertificate() 方法自动构建域名到证书的映射（基于证书中的 DNSNames 和 IPAddresses 字段）。此方法无需手动维护 NameToCertificate 映射表，简洁且健壮。
以下是一个完整可运行的示例：
package main
import (
"log"
"net/http"
"crypto/tls"
)
func main() {
// 创建自定义 TLS 配置
cfg := &tls.Config{}
// 加载第一个证书（如 example.com）
cert1, err := tls.LoadX509KeyPair("example.com.pem", "example.com.key")
if err != nil {
log.Fatal("failed to load example.com cert:", err)
}
cfg.Certificates = append(cfg.Certificates, cert1)
// 加载第二个证书（如 api.example.org）
cert2, err := tls.LoadX509KeyPair("api.example.org.pem", "api.example.org.key")
if err != nil {
log.Fatal("failed to load api.example.org cert:", err)
}
cfg.Certificates = append(cfg.Certificates, cert2)
// 可继续追加其他证书...
// cert3, _ := tls.LoadX509KeyPair("blog.test.pem", "blog.test.key")
// cfg.Certificates = append(cfg.Certificates, cert3)
// 构建 SNI 域名到证书的自动映射（关键步骤！）
cfg.BuildNameToCertificate()
// 创建 HTTP 服务器，绑定自定义 TLS 配置
server := &http.Server{
Addr: ":443",
Handler: http.HandlerFunc(handleRequest),
TLSConfig: cfg,
}
log.Println("HTTPS server starting on :443...")
log.Fatal(server.ListenAndServeTLS("", "")) // 注意：此处 cert/key 参数被忽略，实际使用 cfg.Certificates
}
func handleRequest(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Content-Type", "text/plain")
w.WriteHeader(http.StatusOK)
w.Write([]byte("Hello from " + r.Host))
}
⚠️ 重要注意事项：
- server.ListenAndServeTLS("", "") 中的两个空字符串参数必须传入（否则编译失败），但它们会被 TLSConfig.Certificates 完全覆盖，不会被实际使用；
- cfg.BuildNameToCertificate() 必须在所有证书添加完毕后调用，它会遍历 Certificates 中每个证书的 Leaf（解析后的 x509.Certificate），提取 DNSNames 和 IPAddresses 并建立哈希映射；
- 若证书未正确包含目标域名（如 example.com.pem 中 DNSNames 缺少 "example.com"），SNI 匹配将失败，客户端可能收到默认证书或握手错误；
- 生产环境建议结合 tls.Config.GetCertificate 实现更灵活的证书按需加载（例如从内存缓存或 ACME 服务动态获取），避免启动时全部加载；
- 启动前请确保程序具有绑定 443 端口的权限（Linux/macOS 通常需 sudo，或使用端口转发/反向代理）。
通过上述方式，你即可在单一 Go HTTP 服务器实例中优雅支持任意数量的 TLS 域名，完全符合现代 Web 服务的部署需求。
