中间件无法修改 tls 配置，因为 tls 握手发生在 tcp 连接建立阶段，早于 http 应用层中间件执行；http.transport.tlsclientconfig 和 http.server.tlsconfig 均在连接复用前静态初始化，且 req.tls 为只读字段，不支持运行时变更。
Go微服务里想用中间件动态改 TLS 行为，基本走不通——http.Transport 和 http.Server.TLSConfig 都是连接建立前就固定下来的，中间件在请求进来时早已过了 TLS 握手阶段。
为什么中间件无法修改 TLS 配置
HTTP 中间件运行在应用层（http.Handler 链），而 TLS 握手发生在 TCP 连接建立后的最底层。一旦连接复用（keep-alive），http.Transport 就不会重新协商 TLS；服务端的 tls.Config 更是在 ListenAndServeTLS 或 srv.Serve 之前就初始化完毕。中间件此时连证书、CipherSuite、ClientAuth 都碰不到。
- 试图在中间件里改
req.TLS字段？那是只读的，改了也无效 - 想根据 URL 或 Header 切换客户端证书？
http.Transport.TLSClientConfig.Certificates是全局配置，不是 per-request 的 - 服务端想按请求路径开启/关闭 mTLS？
TLSConfig.ClientAuth是整个 listener 统一策略，无法 runtime 切换
替代方案：用工厂函数 + context 传递 TLS 决策
真正可行的做法，是把 TLS 配置逻辑提前到连接发起前，并通过 context.Context 或外部配置驱动选择。比如：
- 客户端：构造多个预配置好的
*http.Transport实例（如按租户、环境、敏感等级），用context.Value或显式参数选一个 - 服务端：启动多个独立 listener（如
:8443开 mTLS，:8080开单向 TLS），由反向代理（Nginx / Envoy）按 Host 或 path 路由 - gRPC 场景下可借助
credentials.TransportCredentials工厂，在 dial 时传入不同*tls.Config，但依然不能在 unary interceptor 里改
容易踩坑的“伪动态”写法
常见错误是每次请求都 new 一个 tls.Config 并塞进 http.Client，结果：
-
http.Transport的连接池失效：TLSConfig哈希值变 → 每次新建连接 → 性能暴跌 - 证书私钥权限不对（非
0600）或链顺序错（leaf 不在第一位）→tls.LoadX509KeyPair静默失败，报x509: certificate signed by unknown authority - 服务端
ClientCAs加载的是 PEM 文件内容，不是路径；若用ioutil.ReadFile但没处理换行或 BOM，会导致 CA 根证书加载失败
复杂点在于信任边界与生命周期管理
动态 TLS 的本质不是“运行时改配置”，而是“按需选配置”。证书加载、密钥解密、CA 更新这些操作必须在连接建立前完成，且要保证并发安全。比如从 Vault 动态拉取证书，就得在 transport 初始化阶段做，而不是等 request 进来再 fetch —— 否则会成为性能瓶颈和单点故障源。
