如何在 Go 的 ReverseProxy 中验证上游 TLS 证书-Golang-PHP中文网

本文详解如何在 Go 使用 httputil.NewSingleHostReverseProxy 实现反向代理时，主动校验后端 HTTPS 服务的 TLS 证书，确保连接真实可信，避免中间人攻击。核心在于自定义 http.Transport.DialTLS，在 TLS 握手完成后获取并验证 ConnectionState 中的证书链。

本文详解如何在 go 使用 `httputil.newsinglehostreverseproxy` 实现反向代理时，主动校验后端 https 服务的 tls 证书，确保连接真实可信，避免中间人攻击。核心在于自定义 `http.transport.dialtls`，在 tls 握手完成后获取并验证 `connectionstate` 中的证书链。

在 Go 中，httputil.NewSingleHostReverseProxy 默认使用 http.DefaultTransport，其 TLS 验证逻辑由底层 crypto/tls 自动完成（如验证域名、有效期、CA 签名等）。但若需深度控制证书校验逻辑——例如检查特定组织单位（OU）、比对指纹、拒绝自签名或过期证书、或集成私有 CA ——就必须绕过默认行为，接管 TLS 连接建立过程。

关键点在于：DialTLS 是 http.Transport 提供的钩子函数，它负责返回一个已建立 TLS 连接的 net.Conn。我们在此处手动执行 TLS 握手，并在 tls.Conn.ConnectionState() 中获取完整证书链，从而实现任意粒度的校验。

以下是一个生产就绪的示例，包含完整证书验证与错误处理：

Bailian Usage Proxy

阿里百炼大模型平台多人共享账号用量统计代理服务。解决公司共用账号时无法区分个人用量的问题。适用场景：1)部署用量统计代理；2)统计多人Token用量和调用次数；3)管理大模型API调用配额。

下载

package main

import (
    "crypto/tls"
    "crypto/x509"
    "log"
    "net"
    "net/http"
    "net/http/httputil"
    "net/url"
    "time"
)

func main() {
    backendURL, _ := url.Parse("https://sha256.badssl.com")
    proxy := httputil.NewSingleHostReverseProxy(backendURL)

    // 自定义 Transport，启用严格证书校验
    proxy.Transport = &http.Transport{
        DialTLS:           dialTLS,
        TLSHandshakeTimeout: 10 * time.Second,
    }

    // 修复 Host 头：避免因 req.URL.Host 为空导致后端拒绝请求
    director := proxy.Director
    proxy.Director = func(req *http.Request) {
        director(req)
        req.Host = backendURL.Host // 显式设置 Host，适配 badssl.com 等严格校验站点
    }

    log.Println("Starting reverse proxy on :3000...")
    log.Fatal(http.ListenAndServe(":3000", proxy))
}

func dialTLS(network, addr string) (net.Conn, error) {
    conn, err := net.DialTimeout(network, addr, 5*time.Second)
    if err != nil {
        return nil, err
    }

    host, port, err := net.SplitHostPort(addr)
    if err != nil {
        conn.Close()
        return nil, err
    }

    // 构建 TLS 配置：必须指定 ServerName 以支持 SNI 和证书域名匹配
    tlsConfig := &tls.Config{
        ServerName:         host,
        InsecureSkipVerify: false, // ⚠️ 严禁设为 true！此处仅用于手动校验前的握手基础配置
    }

    tlsConn := tls.Client(conn, tlsConfig)
    if err := tlsConn.Handshake(); err != nil {
        conn.Close()
        return nil, err
    }

    // 获取 TLS 连接状态，提取证书链
    state := tlsConn.ConnectionState()
    if len(state.PeerCertificates) == 0 {
        tlsConn.Close()
        return nil, x509.ErrUnsupportedAlgorithm // 或自定义错误
    }

    cert := state.PeerCertificates[0]
    log.Printf("✅ Connected to %s; cert CN: %s", host, cert.Subject.CommonName)

    // 【核心】执行自定义校验逻辑（可扩展）
    if err := verifyCertificate(cert, host); err != nil {
        tlsConn.Close()
        return nil, err
    }

    return tlsConn, nil
}

// verifyCertificate 实现业务级证书验证策略
func verifyCertificate(cert *x509.Certificate, host string) error {
    // 1. 标准 Hostname 验证（等价于 VerifyHostname，但更可控）
    if err := cert.VerifyHostname(host); err != nil {
        return err
    }

    // 2. 可选：检查证书是否由可信根颁发（例如加载私有 CA）
    // roots := x509.NewCertPool()
    // roots.AppendCertsFromPEM(pemBytes)
    // _, err := cert.Verify(x509.VerifyOptions{Roots: roots, DNSName: host})

    // 3. 可选：拒绝 SHA-1 签名证书
    if cert.SignatureAlgorithm == x509.SHA1WithRSA || cert.SignatureAlgorithm == x509.ECDSAWithSHA1 {
        return fmt.Errorf("rejected certificate signed with weak SHA-1")
    }

    // 4. 可选：检查组织信息（如仅接受特定 OU）
    for _, ou := range cert.OCSPServer {
        _ = ou // 示例占位，实际按需校验
    }

    return nil
}

⚠️ 重要注意事项：

切勿设置 InsecureSkipVerify: true：该字段会跳过所有系统级验证，使 VerifyHostname 失效，极大削弱安全性；
req.Host 必须显式设置：NewSingleHostReverseProxy 默认不设置 req.Host，而某些后端（如 badssl.com）依赖 Host 头进行虚拟主机路由或安全策略判断；
证书链完整性：PeerCertificates 仅包含服务器发送的证书链（不含根 CA），如需完整信任链验证，请结合 x509.Certificate.Verify() 并传入可信根池；
性能考量：每次请求都新建 TLS 连接并握手开销较大，建议配合连接复用（http.Transport.MaxIdleConnsPerHost）和证书缓存优化；
错误处理必须严谨：任何校验失败都应关闭连接并返回明确错误，防止未授权流量透传。

通过以上方式，你不仅实现了 TLS 证书的主动确认，还获得了对整个 TLS 层的完全控制权，为构建高安全要求的网关、API 聚合层或合规审计代理奠定了坚实基础。