go标准库不提供证书生成工具，需用openssl或crypto/x509；openssl命令须加-nodes并用-addext设san（如dns:localhost,ip:127.0.0.1）；手动生成时serialnumber必须为*big.int、dnsnames必填、pem格式须严格规范、客户端需显式加载rootcas。
Go 语言标准库不提供命令行式证书生成工具，crypto/tls 只负责加载和使用证书，不生成；真正要产出 cert.pem 和 key.pem，得靠 openssl 或手写 crypto/x509 逻辑——但后者极易因字段缺失、格式错位或编码遗漏导致 http.ListenAndServeTLS 启动失败或客户端报 x509: certificate is valid for XXX, not localhost。
openssl 一行命令生成可用证书（开发最常用）
绝大多数本地 HTTPS 服务调试，直接用 openssl 最快最稳。关键不是“能不能”，而是参数必须精准：
-
-nodes必须加：否则私钥带密码，http.ListenAndServeTLS无法交互解密，直接 panic -
-subj "/CN=localhost"仅设 CN 不够，现代 TLS 栈（Chrome、Go、curl）完全忽略它；必须配合 SAN - OpenSSL ≥1.1.1 才支持
-addext，推荐写配置文件或用该参数注入 SAN - 命令示例（支持
localhost和127.0.0.1）：openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365 -nodes -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"
Go 原生生成证书时 SerialNumber 和 DNSNames 必须显式设置
用 crypto/x509 手动生成证书，最容易在两个地方栽跟头：一个是 SerialNumber 类型错，一个是 DNSNames 漏填。
-
SerialNumber必须是*big.Int，写1或int64(1)都会 panic：x509: serial number is negative -
DNSNames是现代校验唯一生效字段，CommonName已被弃用；不填[]string{"localhost"}，哪怕Subject.CommonName写对了，客户端照样报 “not localhost” - 若需访问
https://127.0.0.1，IPAddresses字段必须显式加net.ParseIP("127.0.0.1")，不能只靠 DNSNames -
NotBefore建议设为time.Now().Add(-5 * time.Minute)，防系统时间微偏差导致 “CERT_HAS_EXPIRED”
tls.X509KeyPair 加载失败几乎全是 PEM 格式问题
tls.X509KeyPair 对输入格式极其敏感，它不接受 DER、不接受裸结构体、不接受加密私钥，只认标准 PEM 块。
- 证书文件开头必须是
-----BEGIN CERTIFICATE-----，结尾-----END CERTIFICATE-----，中间只能是 Base64 +\n，不能有\r\n、BOM、空行或注释 - 私钥必须是
-----BEGIN RSA PRIVATE KEY-----（PKCS#1）或-----BEGIN PRIVATE KEY-----（PKCS#8）；-----BEGIN OPENSSH PRIVATE KEY-----完全不识别 - 别把
x509.Certificate.Bytes()返回的 DER 字节直接传进去——那是二进制，不是 PEM；必须用pem.Encode封装成完整块 - 调试技巧：
file, _ := os.ReadFile("cert.pem"); fmt.Printf("%q", file[:20])看开头是不是"-----BEGIN "，比重跑十次快得多
客户端信任自签名证书必须显式加载 RootCAs
服务端用自签名证书启动 HTTPS 没问题，但 Go 客户端默认不信任它，报 x509: certificate signed by unknown authority ——这不是证书错了，是客户端没被告知“信谁”。
- 服务端无需额外操作，只要
cert.pem和key.pem正确即可 - 客户端必须构造
*x509.CertPool，并用AppendCertsFromPEM()加载cert.pem的内容（注意：是证书，不是私钥） - 错误做法：
RootCAs: x509.NewCertPool()后不调用AppendCertsFromPEM，结果池为空，等同于没配 - 测试时慎用
InsecureSkipVerify: true：它绕过所有校验，掩盖真实问题，且影响后续测试作用域
真正难的不是“怎么生成”，而是每个环节都卡在细节：SerialNumber 类型、DNSNames 存在性、PEM 头尾完整性、RootCAs 是否真正加载成功——漏掉任意一个，http.ListenAndServeTLS 或 http.Client 就会以不同方式失败，且错误信息不指向根源。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
