http.listenandservetls启动panic需检查四点：cert.pem须含服务器证书+中间证书链、key.pem须为未加密私钥且权限≤0600、自签名证书必须包含正确san（如dns:localhost）、客户端rootcas需正确加载服务端ca。
http.ListenAndServeTLS 启动就 panic？检查这四件事
Go 里配 TLS 不是“开了就行”，证书、协议、校验三者必须对齐，漏一个就可能降级成明文或直接拒连。
-
cert.pem必须是 PEM 格式，且内容含服务器证书 + 中间证书（如 Let’s Encrypt 的fullchain.pem），不能只放域名证书；否则客户端报x509: certificate signed by unknown authority -
key.pem必须是未加密私钥（即不含DEK-Info头），格式为-----BEGIN PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----；否则 panic 报tls: failed to find any PEM data in certificate input - 私钥文件权限不能高于
0600（Linux/macOS 下执行chmod 0600 key.pem）；权限为0644时crypto/tls会静默拒绝加载 - 若用自签名证书测试，
cert.pem的Subject Alternative Name (SAN)必须包含访问目标（如DNS:localhost、IP:127.0.0.1）；否则客户端报certificate is valid for xxx, not yyy
客户端连不上服务端？RootCAs 和 Certificates 别填反
这两个字段干的事完全不同，填反或漏填都会导致连接失败。
-
RootCAs：只负责验证服务端证书是否可信，必须加载你信任的 CA 根证书（如内网私有 CA 的ca.crt）；若服务端用自签名证书，这里就得填那个cert.pem的公钥内容（即 PEM 编码的-----BEGIN CERTIFICATE-----块） -
Certificates：只在 mTLS 场景下需要，用于向服务端出示自己的身份，值是tls.Certificate类型（由client.crt+client.key构成） - 绝不能把私钥或中间证书塞进
RootCAs；它只接受 PEM 编码的证书块 -
InsecureSkipVerify: true是裸奔开关，CI/CD 应扫描拦截该字段，正式环境绝不能留
gRPC 微服务启用 mTLS：不是加证书就双向了
mTLS 不是“双方都带证书”就完事，服务端配置错一点，就会变成单向或静默放行。
- 服务端必须设
ClientAuth: tls.RequireAndVerifyClientCert；设成tls.VerifyClientCertIfGiven会导致无证书请求静默通过，形同虚设 -
ClientCAs字段必须传入已加载 PEM 内容的*x509.CertPool，不能传文件路径字符串，也不能传空池 - 客户端 Dial 时，需用
grpc.WithTransportCredentials(credentials.NewTLS(clientTLSConfig))，其中clientTLSConfig.RootCAs必须加载服务端 CA - 服务端
tls.Config.Certificates要含服务端证书+私钥，客户端tls.Config.Certificates要含客户端证书+私钥；两者不能共用同一对文件
生产环境禁用自签名，但开发调试怎么快速起 TLS？
Go Micro 在未指定 TLS 配置时会自动生成自签名证书，适合开发环境使用；但自签名证书在 Go 客户端不被信任——问题永远出在客户端，不是服务端。
- 服务端不用改，客户端必须用
x509.NewCertPool()创建空池，再调用AppendCertsFromPEM()加载自签名证书的公钥（即cert.pem内容），赋给tls.Config.RootCAs - 生成自签名证书时，务必用
-addext "subjectAltName=DNS:localhost,IP:127.0.0.1"注入 SAN，否则现代 Go 版本（≥1.19）握手直接失败 - 生产环境中建议使用 CA 签发的证书，并通过
TLSConfig选项显式配置；证书应预解析并挂载为 Secret，避免硬编码路径 - 证书轮换时，
http.Server和grpc.Server都不支持热更新，必须自己实现 reload 逻辑
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
