Go 使用 http.ListenAndServeTLS 启动 HTTPS 服务时，若仅监听 443 端口而未处理 HTTP 请求（如用户直接访问 http://example.com），浏览器会因协议不匹配导致 ERR_SSL_PROTOCOL_ERROR；正确做法是同时运行 HTTP 重定向服务（如端口 80），将所有请求 301 重定向至 HTTPS。
go 使用 `http.listenandservetls` 启动 https 服务时，若仅监听 443 端口而未处理 http 请求（如用户直接访问 `http://example.com`），浏览器会因协议不匹配导致 `err_ssl_protocol_error`；正确做法是同时运行 http 重定向服务（如端口 80），将所有请求 301 重定向至 https。
在 Go Web 开发中，http.ListenAndServeTLS 是启用 HTTPS 的标准方式，其签名如下：
func ListenAndServeTLS(addr, certFile, keyFile string, handler Handler) error
当你将 addr 设为 ":443" 并成功启动服务后，服务本身是正常的——但用户访问体验出错的根本原因通常不是端口或证书问题，而是协议协商失败：浏览器默认使用 http:// 访问域名（即走 port 80），而你的服务只监听 443（HTTPS），且未响应 HTTP 请求，导致 TLS 握手无法开始，最终触发 ERR_SSL_PROTOCOL_ERROR。
✅ 正确实践：HTTP → HTTPS 自动重定向
为提供无缝安全体验，应同时监听两个端口：
- HTTPS 主服务：监听 :443（或配置的其他 HTTPS 端口），提供实际业务逻辑；
- HTTP 重定向服务：监听 :80（生产环境推荐）或 :8080（开发/非 root 环境），对所有请求返回 301 Moved Permanently，强制跳转至 HTTPS 地址。
⚠️ 注意：Linux/macOS 下绑定 :80 或 :443 需要 root 权限。开发时可暂用 :8080 → :8443 组合；生产部署建议通过 systemd、supervisord 或反向代理（如 Nginx/Caddy）提权，或使用 setcap 授权二进制文件绑定特权端口。
以下是完整、健壮的实现示例（含错误处理与端口分离）：
package main
import (
"log"
"net/http"
"strings"
)
// redir 处理 HTTP 请求，统一重定向到 HTTPS（保留路径和查询参数）
func redir(w http.ResponseWriter, r *http.Request) {
// 安全提取 host（避免端口干扰，如 example.com:8080 → 只取 example.com）
host := r.Host
if idx := strings.Index(host, ":"); idx != -1 {
host = host[:idx]
}
httpsURL := "https://" + host + r.RequestURI
http.Redirect(w, r, httpsURL, http.StatusMovedPermanently)
}
func main() {
// 假设 router 是你的 Gin/Chi/stdlib 路由器
// router := ...
// 启动 HTTPS 服务（主服务）
httpsAddr := ":" + Config.String("port") // 如 "443"
certPath := Config.Key("https").String("cert")
keyPath := Config.Key("https").String("key")
// 启动 HTTP 重定向服务（后台 goroutine）
go func() {
log.Println("HTTP redirect server starting on :80...")
err := http.ListenAndServe(":80", http.HandlerFunc(redir))
if err != nil && err != http.ErrServerClosed {
log.Fatalf("HTTP redirect server failed: %v", err)
}
}()
// 主 HTTPS 服务（阻塞式）
log.Printf("HTTPS server starting on %s...", httpsAddr)
log.Fatal(http.ListenAndServeTLS(httpsAddr, certPath, keyPath, router))
}
? 关键细节说明
- http.StatusMovedPermanently（301）：告知搜索引擎和浏览器该跳转是永久性的，有利于 SEO 和缓存优化；若需临时调试，可用 http.StatusTemporaryRedirect（307）。
- r.Host 处理端口：r.Host 可能包含端口号（如 example.com:8080），需截断以避免重定向 URL 错误（如 https://example.com:8080/...）。
- 证书路径校验：确保 certPath 和 keyPath 指向有效的 PEM 格式证书与私钥，且私钥无密码保护（Go 不支持交互式解密）。
- 防火墙与云平台配置：开放服务器的 80 和 443 端口；若使用云服务商（AWS/Aliyun），还需检查安全组规则。
✅ 验证方式
- 直接访问 http://your-domain.com → 应自动跳转至 https://your-domain.com（地址栏显示 HTTPS，状态码 301）；
- 访问 https://your-domain.com → 正常加载页面，浏览器显示锁图标；
- 使用 curl -I http://your-domain.com 查看响应头是否含 Location: https://... 与 301。
遵循此模式，即可彻底规避 ERR_SSL_PROTOCOL_ERROR，为用户提供符合现代 Web 安全规范的可靠 HTTPS 体验。
