服务端启用双向tls必须显式设置clientauth: tls.requireandverifyclientcert并正确加载clientcas，客户端需同时配置rootcas和certificates；否则看似双向实为单向或校验失败。
服务端启用双向TLS必须显式设置 ClientAuth
Go 的 http.Server 默认只做服务端证书验证，不校验客户端证书。要强制双向校验，必须在 tls.Config 中设置 ClientAuth: tls.RequireAndVerifyClientCert，否则即使提供了 ClientCAs，客户端证书也会被忽略。
常见错误是只配置了 ClientCAs 但漏掉 ClientAuth，导致连接始终成功，看似“双向”实则单向。
-
tls.NoClientCert：完全不请求客户端证书（默认） -
tls.RequestClientCert：可选提供，不强制验证 -
tls.RequireAnyClientCert：必须提供证书，但不校验是否在 CA 列表中 -
tls.RequireAndVerifyClientCert：必须提供且必须由指定 CA 签发（真正双向）
加载客户端 CA 证书要用 certPool.AppendCertsFromPEM() 而非直接赋值
tls.Config.ClientCAs 是一个 *x509.CertPool，不能直接把 PEM 字节切片塞进去。必须先创建空池，再用 AppendCertsFromPEM() 解析并加载——否则运行时不会报错，但校验永远失败。
典型误操作：config.ClientCAs = x509.NewCertPool(); config.ClientCAs = pemBytes —— 这样赋值后 ClientCAs 实际为 nil，导致服务端跳过客户端证书校验。
- 读取 CA 文件后，用
ioutil.ReadFile（Go 1.16+ 推荐os.ReadFile）获取字节 - 调用
certPool.AppendCertsFromPEM(pemBytes)，返回 bool 表示是否至少成功解析一个证书 - 务必检查返回值，
false意味着 PEM 格式错误或内容为空
客户端发起双向 TLS 请求时需同时设置 RootCAs 和 Certificates
客户端既要验证服务端证书（靠 RootCAs），又要向服务端出示自己的证书（靠 Certificates）。两者缺一不可。漏掉 RootCAs 会导致 x509: certificate signed by unknown authority；漏掉 Certificates 会触发服务端拒绝（因服务端设了 RequireAndVerifyClientCert）。
-
RootCAs应加载服务端证书的签发 CA（不是客户端自己的 CA） -
Certificates是一个[]tls.Certificate，需用tls.LoadX509KeyPair(clientCertPEM, clientKeyPEM)加载 - 若服务端证书是自签名的，客户端
RootCAs必须包含该自签名证书，不能留空
证书链顺序和密钥格式错误会导致 tls: failed to verify client's certificate
这个错误不一定代表证书无效，更可能是加载方式或格式问题。常见原因包括：
- 客户端证书 PEM 中混入了中间 CA 证书，而服务端
ClientCAs只加载了根 CA —— 此时应确保客户端证书是“终端实体证书”，不含链 - 私钥不是 PEM 编码的 PKCS#1 格式（即以
-----BEGIN RSA PRIVATE KEY-----开头），而是 PKCS#8（-----BEGIN PRIVATE KEY-----）—— Go 1.15+ 支持后者，但旧版本会静默失败 - 服务端
ClientCAs加载的是 DER 而非 PEM，或 PEM 块名称写错（如写成BEGIN CERTIFICATE AUTHORITY）
调试时建议用 openssl verify -CAfile ca.pem client.pem 在命令行先验证证书链是否有效，排除证书本身问题。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
