必须先用pem.decode提取der字节再传给x509.parsecertificate，直接传pem内容会报asn1错误；多证书需循环解码；verify时须显式设置roots、intermediates和currenttime，并用verifyhostname校验域名。
用 crypto/x509 解析 PEM 证书，别直接读文件内容
Go 标准库不直接支持从原始 PEM 字节流解析证书——你得先解码 PEM 块，再喂给 x509.ParseCertificate。常见错误是跳过 PEM 解码步骤，直接把整个文件内容传给 ParseCertificate，结果报错：x509: failed to parse certificate: asn1: syntax error: sequence truncated。
正确做法是用 pem.Decode 提取 DER 数据：
block, _ := pem.Decode(pemBytes)
if block == nil || block.Type != "CERTIFICATE" {
return nil, errors.New("no valid CERTIFICATE PEM block found")
}
cert, err := x509.ParseCertificate(block.Bytes)
注意：pem.Decode 只解码第一个块；如果上传内容含多个证书（如证书链），需循环调用 pem.Decode 直到返回 nil。
校验证书有效性时必须显式传入当前时间
cert.Verify 默认使用 time.Now()，但测试或回放场景下容易因系统时间漂移导致误判。更稳妥的做法是传入明确的 currentTime 参数：
- 避免依赖运行时系统时间，方便单元测试和重放验证
- 若校验失败且错误为
x509: certificate has expired或certificate is not valid yet，优先检查这个时间点是否合理 - 对客户端上传证书，建议统一用
time.Now().UTC()，避免本地时区干扰
示例：
opts := x509.VerifyOptions{
Roots: rootPool,
CurrentTime: time.Now().UTC(),
KeyUsages: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth},
}
_, err := cert.Verify(opts)
验证证书链时，roots 和 intermediates 要分开配置
上传的 PEM 内容常包含「服务器证书 + 中间证书」，但没有根证书。此时不能只把全部 PEM 块都塞进 roots，否则 Verify 会尝试用中间证书当信任锚，必然失败。
正确拆分方式：
- 提取所有
CERTIFICATE块，用cert.IsCA和cert.CheckSignatureFrom粗略判断层级（谨慎依赖） - 更可靠的做法：将已知的可信根证书（如系统 CA 或企业私有根）单独加载进
x509.CertPool作为roots - 把上传 PEM 中除叶证书外的其他证书，解析后加入
opts.Intermediates（类型是*x509.CertPool）
漏设 Intermediates 是导致 x509: certificate signed by unknown authority 的最常见原因。
注意 Subject 和 DNSNames 的匹配逻辑差异
校验域名是否在证书中有效时，不能只比对 cert.Subject.CommonName——它已被主流浏览器弃用，且 Go 的 VerifyHostname 方法根本不检查 CN。
实际生效的是 cert.DNSNames 和 cert.IPAddresses：
-
VerifyHostname("example.com")会严格匹配DNSNames列表中的精确字符串或通配符（如*.example.com） - 通配符只允许出现在最左侧，且仅匹配单段子域（
*.a.b.c不匹配x.y.a.b.c） - 若证书含空
DNSNames但有IPAddresses，而你要校验的是域名，就会失败
别忘了：即使 Verify 成功，也得额外调用 cert.VerifyHostname(hostname) 才算完成主机名校验。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
