go启动https服务必须用http.listenandservetls，传入pem格式的证书（含完整链）和未加密私钥，缺一不可；不支持pfx、der、带密码密钥或相对路径，且私钥权限须为0600、换行符须为lf。
Go 启动 HTTPS 服务必须用 http.ListenAndServeTLS，传两个 PEM 文件路径：证书（含完整链）和未加密私钥，缺一不可；不支持 PFX、DER、带密码的密钥，也不接受空字符串或相对路径误判。
证书和私钥文件必须是 PEM 格式且顺序/权限正确
常见错误不是“找不到文件”，而是静默 panic 或报 tls: failed to find any PEM data in certificate input——这往往是因为：
- 私钥被加密（如用
openssl genrsa -aes256生成），需先用openssl rsa -in key.pem.enc -out key.pem去密 - 证书文件里没包含中间 CA（比如 Let’s Encrypt 的
fullchain.pem必须由cert.pem+chain.pem拼成，不能只用cert.pem） - 私钥权限太宽（Linux/macOS 下必须
chmod 600 key.pem，否则 crypto/tls 直接拒绝加载） - Windows 上用了 CRLF 换行符，Go 解析失败；务必保存为 Unix 风格（LF）
开发用自签名证书，生产必须用可信 CA 且禁用 TLS 1.1 及以下
本地调试可快速生成：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -subj "/CN=localhost" -addext "subjectAltName = DNS:localhost,IP:127.0.0.1"
但生产环境必须用 Let’s Encrypt 等可信 CA 签发的证书，并显式配置 TLS 安全策略：
- 设
MinVersion: tls.VersionTLS12，彻底禁用 TLS 1.0/1.1 - 避免硬编码
CipherSuites，Go 1.19+ 默认已优化；仅当有兼容性要求时才裁剪，且推荐仅保留 AEAD 套件（如tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256） - 用
openssl s_client -connect example.com:443 -tls1_2验证实际协商结果
HTTP 自动跳转 HTTPS 必须另起 :80 server，不能靠中间件
router.RunTLS 或 http.ListenAndServeTLS 只监听 HTTPS 端口，完全收不到 HTTP 请求。想实现 http:// → https:// 跳转，必须单独启动一个 HTTP server：
- 监听
:80，用http.Redirect发送http.StatusMovedPermanently（即 301），不是默认的 302 - 跳转目标必须写死可信域名（如
"https://example.com" + r.URL.RequestURI()），不能拼r.Host——它可能被篡改 - 若部署在 Nginx / ALB 后，应关闭 Go 层 TLS，只信任
X-Forwarded-Proto头做逻辑判断，避免双重 TLS 终止
证书更新不能热重载，除非用 GetCertificate 回调或 certmagic
Go 标准库的 http.ListenAndServeTLS 是一次性加载，证书过期后必须重启进程。生产中要避免停机，有两个可行路径：
- 用
tls.Config.GetCertificate回调函数，在每次 TLS 握手时动态返回新证书（需自己管理证书生命周期和锁） - 更推荐直接集成
certmagic：一行certmagic.HTTPS([]string{"example.com"}, nil)即可自动申请、续期、热加载，且兼容 Gin - 别把 Let’s Encrypt 的
privkey.pem和fullchain.pem往RunTLS一塞就不管了——90 天后服务必然中断
最易被忽略的一点：所有路径必须是绝对路径，或通过 filepath.Abs 显式转换；工作目录不确定时，相对路径等于埋雷。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
