go报x509错误主因是不读系统ca库，需用gocertificatepath加载自定义根证书或显式配置rootcas；git命令不受该变量影响，需单独配置sslcainfo。
go get 报 x509: certificate signed by unknown authority 怎么办
这是典型的 TLS 证书验证失败，不是代理没配对，而是 Go 工具链在建立 HTTPS 连接时，无法验证目标服务器的证书链。常见于公司内网自建代理、中间人（MITM）代理、或某些老旧镜像站使用了自签名证书。
直接关掉证书校验（如 GODEBUG=sslkeylog=1 或改系统根证书）风险高且不推荐。更稳妥的做法是让 Go 信任你实际使用的证书：
- 确认出问题的 URL：运行
go mod download -v，看最后卡在哪条GET https://...请求上 - 用
curl -v https://xxx访问该地址，观察* SSL certificate verify result: ...行，确认是否返回unable to get local issuer certificate - 若确认是自签名证书，导出该证书（浏览器点锁图标 → 导出 PEM），然后追加到 Go 的信任证书池：
openssl x509 -in your-proxy.crt -outform pem >> $(go env GOROOT)/ssl/cert.pem - 注意：Go 1.21+ 默认使用系统证书池，也可改用
GODEBUG=x509ignoreCN=0（仅调试）或临时设GOINSECURE=your-mirror.example.com（仅限测试环境）
GOPROXY 设成 http 地址后报 refused connection
Go 1.16+ 默认禁用非 HTTPS 的代理地址，即使你写了 http://goproxy.internal:8080，go mod 也会直接拒绝连接，报错类似 invalid proxy URL: scheme must be https。
要启用 HTTP 代理，必须显式允许对应域名：
- 执行
go env -w GOINSECURE="goproxy.internal"（注意不含协议和端口） - 确保
GOPROXY值为http://goproxy.internal:8080，且不带 trailing slash - 如果代理跑在 Docker 或 WSL 中，检查监听地址是不是
0.0.0.0:8080而非127.0.0.1:8080，否则宿主机无法访问 -
GOINSECURE不支持通配符或端口，多个域名用逗号分隔：go env -w GOINSECURE="goproxy.internal,git.internal"
go mod download 卡在 dial tcp xxx:443: connectex
这个错误表面是连不上，但根源常不在网络本身，而在 Go 的 DNS 解析或 TLS 握手阶段被阻塞。尤其在 Windows 或某些容器环境中，Go 自带的纯 Go DNS 解析器可能超时或返回空结果。
优先排查顺序：
- 先试
curl -v https://goproxy.cn，确认基础 HTTPS 可通；不通则查防火墙或代理设置 - 再试
go mod download -x，看最后一条curl命令，复制出来单独执行，判断是 DNS 还是 connect 阶段失败 - 如果是 DNS 慢或失败，加
go env -w GODEBUG=netdns=cgo强制走系统 DNS 解析器 - 如果仍卡住，临时加
go env -w GOSUMDB=off排除校验服务干扰（仅用于定位）
私有 Git 仓库拉取时报 fatal: unable to access 'https://git.internal/...': SSL certificate problem
这个错误和 go get 无关，是底层 git 命令在克隆时触发的证书校验失败。Go 在拉取未被 GOPROXY 缓存的模块时，会调用 git clone，而它完全独立于 Go 的 TLS 设置。
解决方式不在 Go 环境变量里，而在 Git 配置中：
- 让 Git 信任你的内网 CA：
git config --global http."https://git.internal/".sslCAInfo /path/to/internal-ca.crt - 或全局跳过验证（仅限开发机）：
git config --global http.sslVerify false - 若用 SSH 克隆，确保
git@路径已配置且ssh -T git@git.internal能通 - 别忘了配
GOPRIVATE=git.internal，否则 Go 会把私有地址也扔给GOPROXY，导致 403
真正麻烦的不是配错一个变量，而是多个组件（Go CLI、git、curl、系统 DNS、证书链）各自维护一套安全策略，稍有不一致就报错。建议每次只动一个变量，用 -v 或 -x 看清哪一层挂了，再针对性处理。
