go中grpc tls必须显式配置，服务端需用os.readfile读取证书密钥、tls.x509keypair解析、credentials.newtls封装后传入grpc.creds；客户端须显式加载ca至rootcas并校验san，否则x509错误或降级明文。
Go 中 gRPC 通信必须显式启用 TLS，否则默认走明文 HTTP/2 —— 这不是“可选增强”，而是生产环境的硬性底线。
gRPC Server 怎么加载 TLS 证书才不 panic
直接把证书路径塞进 grpc.Creds 会触发 invalid memory address or nil pointer dereference。gRPC 不解析文件，只认已构造好的 credentials.TransportCredentials 实例。
- 用
os.ReadFile读取server.crt和server.key - 调用
tls.X509KeyPair解析成tls.Certificate - 构造
tls.Config，注意Certificates字段是切片，哪怕只有一对也要写成[]tls.Certificate{cert} - 用
credentials.NewTLS包一层，传给grpc.Creds
错误示例：grpc.Creds(credentials.NewTLS(&tls.Config{})) —— 空配置没证书，监听直接失败；正确写法：
cert, _ := tls.X509KeyPair(serverCert, serverKey)
config := &tls.Config{Certificates: []tls.Certificate{cert}}
creds := credentials.NewTLS(config)
server := grpc.NewServer(grpc.Creds(creds))
gRPC Client 为什么连不上，却报 x509 错误
客户端默认不校验证书，哪怕你传了 credentials.NewTLS，如果 RootCAs 为空，它就跳过验证 —— 等同于裸连，但连接时又因信任链断裂而报错。
-
x509: certificate signed by unknown authority：本质是没加载 CA 或服务端证书到RootCAs -
x509: certificate is valid for example.com, not api.example.org：证书 SAN 不匹配访问域名或 IP - 必须用
x509.NewCertPool()+AppendCertsFromPEM()注入根证书（自签也要用ca.crt，不能只用server.crt） - 若用 IP 访问（如
10.0.1.5:50051），证书里IP SANs必须包含该 IP，否则 Go 1.15+ 拒绝握手
调试时可临时设 InsecureSkipVerify: true，但上线前必须删掉 —— 它绕过全部验证，不是“先跑通再加固”，而是直接放弃安全。
自签名证书生成时最容易漏掉的关键字段
OpenSSL 默认生成的证书没有 subjectAltName (SAN)，gRPC（基于 crypto/tls）在 Go 1.15+ 会直接拒绝，报错 x509: cannot validate certificate for xxx because it doesn't contain any IP SANs。
- 必须准备
openssl.cnf，在[req_ext]段明确写subjectAltName = @alt_names - 在
[alt_names]段列出所有目标：如DNS.1 = localhost、IP.1 = 127.0.0.1、IP.2 = 10.0.1.5（K8s Service IP 或 Pod IP） - 命令中必须带
-config openssl.cnf，漏掉就白生成 - 私钥不能加密（
-nodes必须加），Go 不支持解密带密码的 key 文件
双向 TLS（mTLS）要配对生效的两个关键点
mTLS 不是“开了就行”，服务端和客户端配置必须严格对称，否则握手卡在证书交换阶段。
- 服务端
tls.Config必须设ClientAuth: tls.RequireAndVerifyClientCert并填入ClientCAs（即客户端证书的签发 CA） - 客户端
tls.Config的RootCAs必须加载服务端的 CA，同时 Dial 时要提供自己的证书（Certificates: []tls.Certificate{clientCert}） - 证书链要完整：服务端证书 + 中间 CA（如有）+ 根 CA；客户端同理
- gRPC 层用
credentials.NewTLS注入，不是靠 HTTP/2 或拦截器实现
最常被忽略的是：证书有效期、系统时间偏差超过 5 分钟、证书链缺失中间 CA —— 这些都会导致 tls: failed to verify certificate，但错误信息不提示具体原因。
