mtls 生效的唯一条件是服务端配置 clientauth: tls.requireandverifyclientcert 且 clientcas 非空；否则降级为单向 tls。客户端证书链需完整、私钥权限为 0600，rootcas 必须与服务端 ca 字节级一致。
不设 ClientAuth: tls.RequireAndVerifyClientCert，mTLS 就没生效——服务端根本不会索要客户端证书，连接静默降级为单向 TLS。
服务端必须显式要求并验证客户端证书
Go 默认的 http.ListenAndServeTLS 或 grpc.Creds 构造的 tls.Config 中，ClientAuth 是 tls.NoClientCert，等于关闭双向校验。这不是“可选”，而是开关本身。
-
ClientAuth: tls.RequireAnyClientCert只检查证书格式和有效期，不验证签发者——攻击者用自签名证书也能连上 -
ClientAuth: tls.VerifyClientCertIfGiven允许客户端不发证书，等同于“自愿提交”，无法保证身份强制性 - 真正生效的只有
ClientAuth: tls.RequireAndVerifyClientCert，且必须搭配非空的ClientCAs - 若用
net/http.Server，务必手动赋值srv.TLSConfig = &tls.Config{...}，再调用srv.ListenAndServeTLS("", "")；传空字符串表示从配置读证书，避免被默认逻辑覆盖
客户端证书加载失败的三个典型错误点
报错如 x509: certificate signed by unknown authority 或 remote error: tls: bad certificate，往往不是证书内容错，而是加载方式或上下文错。
-
tls.LoadX509KeyPair("client.crt", "client.key")要求client.crt是完整链：leaf 证书在前，中间 CA 在后，root 不放这里（root 放RootCAs） - 私钥文件权限必须是
0600，否则 Go 会静默忽略并 fallback 到 HTTP，无任何提示 -
http.Transport.TLSClientConfig.RootCAs必须加载服务端的 CA 根证书（即签发服务端证书的那个 PEM），不是服务端的公钥证书本身 - gRPC 客户端若写
credentials.NewTLS(nil)，等于创建空tls.Config，既不发证也不验证，彻底退化
自定义证书校验逻辑：绕过默认链验证陷阱
一旦设置 VerifyPeerCertificate 回调，Go 就不再自动执行证书链验证——你得自己补上，否则任何证书都能过。
- 回调函数签名是
func(rawCerts [][]byte, verifiedChains [][]*x509.Certificate) error -
verifiedChains可能为空（比如 CA 不匹配），不能直接信任它 - 正确做法：先用
roots.Verify(&x509.Certificate{...}, &x509.VerifyOptions{...})手动做基础链验证，再对解析后的parsedCert做业务规则检查（如 OU、SAN、序列号） - 别在回调里做耗时操作（如查 DB 或远程鉴权），握手阶段应只做轻量解析与匹配
gRPC 和 HTTP 的 mTLS 配置不互通
同一个 tls.Config 实例不能混用于 gRPC Server 和 HTTP Client，语义和使用路径完全不同。
- HTTP Server 启用 mTLS：靠
http.Server.TLSConfig.ClientAuth+ClientCAs - gRPC Server 启用 mTLS：必须用
grpc.Creds(credentials.NewTLS(tlsConfig))，且tlsConfig仍需含ClientAuth和ClientCAs - gRPC Client 发起 mTLS：必须用
grpc.WithTransportCredentials(credentials.NewTLS(tlsConfig))，且tlsConfig必须同时有Certificates（自己的证书链）和RootCAs（服务端 CA） - 用
openssl s_client -connect host:port -cert client.crt -key client.key -CAfile ca.crt可快速验证组合是否有效，比写代码调试快得多
最常被忽略的是：服务端 ClientCAs 和客户端 RootCAs 必须加载同一份根证书 PEM —— 不是“看起来一样”，而是字节完全一致。差一个换行或注释，握手就失败。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
