go 的 crypto/tls 包不导致 wss 证书不信任，真正原因是其默认不复用系统 ca 证书库，而是硬编码 mozilla 根证书且不自动加载私有或自签名 ca；wss 报 x509 错误实为底层 tls 握手校验失败，常见于自签名/内网 ca 证书、证书链不完整或未配置 gocertificatepath。
go 的 crypto/tls 包本身不导致 wss（websocket over tls）证书不信任，真正出问题的是 go 客户端默认不复用系统 ca 证书库，而是硬编码了一套 mozilla 根证书（crypto/tls 内置的 roots.go），且不会自动加载操作系统信任的私有 ca、中间证书或自签名根证书。
为什么 WSS 连接报 x509: certificate signed by unknown authority
这个错误不是 WebSocket 协议的问题，而是底层 http.Client 或 websocket.Dial 发起 TLS 握手时校验失败。常见触发点：
- 你用自签名证书或企业内网 CA 签发的证书启动了 WSS 服务（如
wss://test.internal:8443） - 客户端 Go 程序运行在未预装该 CA 的机器上（比如 Linux 容器、CI 环境、Windows Server 默认不信任内部 CA）
- 证书链不完整：服务端只提供了站点证书，没附带中间 CA 证书，导致 Go 无法拼出可信路径
- 你用了
websocket.Dial但没传自定义*http.Client，它会 fallback 到默认 client，而后者完全不读取/etc/ssl/certs或 Windows 证书存储
Go 1.21+ 正确加载自定义 CA 的方式
别改源码、别重编译、别设 GODEBUG=x509ignoreCN=0（它只影响 CN 检查，不解决根证书缺失）。直接用官方支持的 GOCERTIFICATEPATH：
- 把你的 PEM 格式根证书（例如
internal-ca.crt）单独放一个目录，如/etc/my-ca/ - 设置环境变量：
GOCERTIFICATEPATH=/etc/my-ca（Linux/macOS）或set GOCERTIFICATEPATH=C:\ca\（Windows） - 确保该目录下只有
.crt或.pem文件，且权限可读（Linux/macOS 上不要 777） - 重启 Go 进程（环境变量是进程级的，改了不重启无效）
- 注意：此变量只影响 Go 自身 TLS 客户端（
net/http、websocket.Dial），不影响exec.Command("curl")或git命令
临时调试绕过证书验证（仅限开发）
生产环境禁止使用。如果你只是本地快速验证 WSS 逻辑，可以显式构造一个跳过验证的 http.Client：
Crypto Analyst
下载
加密货币综合分析工具，集成OKX、Binance数据，提供行情、技术分析、交易信号、资金流向、仓位管理、DCA计划、风险计算。触发词：分析BTC、行情查询、交易信号、仓位计算、DCA计划、巨鲸追踪、风险评估。
tr := &http.Transport{
TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}
client := &http.Client{Transport: tr}
ws, _, err := websocket.DefaultDialer.DialContext(ctx, "wss://test.internal:8443/ws", http.Header{})
⚠️ 注意：InsecureSkipVerify: true 会完全关闭证书链和域名匹配检查，攻击者可中间人劫持。它不能解决“证书不受信”，只是假装信——这掩盖了真实配置问题。
服务端证书链必须完整
即使客户端加了 CA，如果服务端没发全证书链，Go 仍可能验证失败（尤其在跨平台或旧系统上）。检查方式：
- 用
openssl s_client -connect test.internal:8443 -showcerts看输出里是否包含中间证书 - 确保你的 WSS 服务（如
http.Server）初始化时传入的tls.Config.Certificates是一个含多个tls.Certificate的切片，或证书文件本身已将站点证书 + 中间证书拼在一起（PEM 格式顺序：站点证书在前，中间证书紧随其后） - 不要依赖客户端“自己去下载中间证书”——Go 不支持 AIA（Authority Information Access）扩展自动获取
最容易被忽略的是证书链顺序和 GOCERTIFICATEPATH 目录权限；前者错一点，握手就静默失败；后者若目录不可读，Go 不报错也不加载，只会继续用内置根证书池——问题看似没变，其实根源已经转移。
