go 默认禁用弱密码套件（如含 rc4、sha1、1024 位 dh 的套件），导致与仅支持 tls_rsa_with_rc4_128_sha 等老旧服务端协商失败；需显式配置 tls.config 的 ciphersuites 和 minversion（如 tls.versiontls10）以启用兼容套件，且不可启用 insecureskipverify——它仅影响证书验证，无法解决握手失败。
Go 默认禁用弱密码套件，遇到只支持 TLS_RSA_WITH_RC4_128_SHA 或 TLS_DHE_RSA_WITH_AES_128_CBC_SHA 的老旧服务端（如某些俄语站点、内网设备）时，http.Client 会直接报 remote error: tls: handshake failure——这不是网络问题，是密码协商失败。
为什么默认配置连不上老旧服务端
Go 从 1.15 起默认禁用所有含 RC4、SHA1、1024 位 DH 参数的套件，且不启用 RSA 密钥交换（无前向保密）。而很多遗留系统仅支持以下三类之一：
-
TLS_RSA_WITH_RC4_128_SHA（无前向保密，RC4 已淘汰） -
TLS_DHE_RSA_WITH_AES_128_CBC_SHA（DHE-1024，密钥强度不足） -
TLS_DHE_RSA_WITH_AES_256_CBC_SHA（同上）
它们在 crypto/tls 中仍存在，但需显式启用；否则 tls.Config 初始化时不会包含它们。
如何手动启用兼容性密码套件
只需在 tls.Config 中明确列出目标套件 ID，并确保 MinVersion 不高于服务端支持版本（通常设为 tls.VersionTLS10）：
tr := &http.Transport{
TLSClientConfig: &tls.Config{
MinVersion: tls.VersionTLS10,
CipherSuites: []uint16{
tls.TLS_RSA_WITH_RC4_128_SHA, // Go 仍支持，最易启用
// tls.TLS_DHE_RSA_WITH_AES_128_CBC_SHA, // 若 RC4 不行再试这个
},
// InsecureSkipVerify: true // ❌ 千万别加这行！它解决不了握手失败
},
}
client := &http.Client{Transport: tr}
注意：
- 不要同时启用多个弱套件，按需最小化启用
-
InsecureSkipVerify对握手失败无效，它只影响证书验证阶段 - 若服务端还要求 SNI，记得设置
ServerName字段
客户端证书验证不能省略
启用弱套件不等于放弃证书校验。老旧服务端往往仍使用有效证书（哪怕由旧 CA 签发），所以：
- 保持
InsecureSkipVerify: false（默认值） - 必要时通过
RootCAs加载额外根证书（如私有 CA） - 若遇
x509: certificate signed by unknown authority，优先检查证书链而非关验证
绕过验证是另一类风险，和握手失败无关，混用只会让问题更难定位。
真正麻烦的是：同一个服务端可能在不同节点返回不同套件列表，或随机降级到 TLS 1.0；所以测试时得抓包确认实际协商结果，不能只靠配置“猜”。
