Go 1.7 及之后版本默认禁用了 TLS 客户端重协商，此前版本无法安全禁用；升级 Go 并配置 tls.Config 的 Renegotiation 字段为 tls.RenegotiateNever 是根本解决方案。
go 1.7 及之后版本默认禁用了 tls 客户端重协商，此前版本无法安全禁用；升级 go 并配置 `tls.config` 的 `renegotiation` 字段为 `tls.renegotiatenever` 是根本解决方案。
在 Go 语言中，TLS 重协商（renegotiation）是一种允许在已建立的 TLS 连接上重新协商加密参数的机制。然而，该机制存在潜在的安全风险（如 CVE-2011-1473），且 Go 标准库在早期版本（完全不支持客户端发起或响应重协商——这意味着当服务器强制要求重协商时，Go 客户端会直接断开连接并返回错误（如 tls: failed to parse handshake 或 tls: server requested renegotiation）。
该问题于 Go 1.7（2016年8月发布）正式修复：标准库新增了对重协商策略的显式控制能力。关键改进在于 crypto/tls.Config 结构体中引入了 Renegotiation 字段，其类型为 RenegotiationSupport 枚举，可选值包括：
- RenegotiateNever（推荐）：完全禁止重协商（客户端既不发起也不响应）
- RenegotiateOnceAsClient：最多响应一次服务器发起的重协商（不推荐，仅用于兼容旧服务）
- RenegotiateFreelyAsClient：允许任意次数重协商（不安全，已弃用）
✅ 正确做法（Go ≥ 1.7）：
import (
"crypto/tls"
"net/http"
)
tr := &http.Transport{
TLSClientConfig: &tls.Config{
Renegotiation: tls.RenegotiateNever, // 关键：彻底禁用重协商
MinVersion: tls.VersionTLS12,
MaxVersion: tls.VersionTLS13,
},
}
client := &http.Client{Transport: tr}
resp, err := client.Get("https://example.com")
⚠️ 注意事项：
- Go 1.6 及更早版本无此字段，且无法通过调整 MinVersion/PreferServerCipherSuites 等参数规避重协商失败——这些设置仅影响初始握手，不影响重协商触发逻辑。
- 升级 Go 版本是必要前提；若受限于环境无法升级，请联系服务端管理员关闭其 TLS 重协商功能（如 Nginx 配置 ssl_renegotiation off）。
- RenegotiateNever 是唯一安全选项，其他值均可能引入中间人攻击风险，不应在生产环境使用。
总结：禁用 TLS 重协商不是“绕过”问题，而是通过现代 Go 的安全默认与显式配置实现合规防护。始终优先升级 Go 至最新稳定版，并将 tls.Config.Renegotiation 显式设为 tls.RenegotiateNever，以确保连接健壮性与安全性。
