go 1.21+ 默认不信任本地自签名证书，必须显式将 pem 格式 ca 证书（如 ca.crt）加载到 http.client 的 tlsclientconfig.rootcas 中，否则报 x509: certificate signed by unknown authority；禁用 insecureskipverify 仅限单元测试，生产环境必须严格校验。
Go 1.21+ 默认禁用本地自签证书，http.Client 会直接报 x509: certificate signed by unknown authority
这不是 Go 的 bug，而是安全策略升级：从 Go 1.21 开始，http.DefaultTransport 和所有未显式配置 TLS 的 http.Client 不再信任系统根证书之外的任何 CA，包括你用 openssl 或 mkcert 生成并手动安装到系统钥匙串的自签名根证书（哪怕 curl -k 或浏览器能过）。根本原因是 Go 不读取系统证书库（如 macOS Keychain、Linux /etc/ssl/certs），它只认内置的 crypto/tls 根证书池 + 显式追加的证书。
给 http.Client 手动加载本地根证书文件（推荐）
最可控、跨平台一致的做法：把你的自签 CA 证书（比如 ca.crt）作为字节数据读入，用 tls.X509CertPool 加载，再注入到 http.Transport.TLSClientConfig.RootCAs。不要依赖环境变量或系统路径。
-
ca.crt必须是 PEM 格式，以-----BEGIN CERTIFICATE-----开头 - 证书内容要完整，不能只截取公钥部分；如果是
mkcert生成的，用它输出的rootCA.pem，不是localhost.pem - 代码里别硬编码路径，用
os.ReadFile读取，并检查错误——路径错或权限不足时，Go 不会报 “证书无效”，而是静默 fallback 到默认根池，最终仍报unknown authority
caCert, err := os.ReadFile("path/to/ca.crt")
if err != nil {
log.Fatal(err)
}
rootCAPool := x509.NewCertPool()
if !rootCAPool.AppendCertsFromPEM(caCert) {
log.Fatal("failed to parse root certificate")
}
client := &http.Client{
Transport: &http.Transport{
TLSClientConfig: &tls.Config{
RootCAs: rootCAPool,
},
},
}
测试时临时绕过验证？别用 InsecureSkipVerify: true
这会让整个连接失去 TLS 保护，等价于裸 HTTP，且无法区分“证书过期”和“非目标 CA 签发”等真实问题。仅限单元测试中初始化 mock server 的极简场景，生产、集成、本地调试一律禁用。
- 如果只是为了跑通本地开发服务（如调用
https://localhost:8080），正确做法是：确保服务端证书由你的本地 CA 签发，并在客户端加载该 CA - 若服务端证书是
mkcert生成的，它默认用自己管理的rootCA.pem签发，你只需把这个文件交给客户端 -
InsecureSkipVerify会掩盖证书链、域名匹配、有效期等关键验证环节，后续上线容易因小疏忽导致线上 TLS 失败
模块构建时涉及证书的常见陷阱
Go 模块本身不处理 TLS，但如果你的 go.mod 里有私有仓库地址（如 git.example.com/internal/pkg）且该域名用了自签证书，go get 或 go mod download 就会失败。这时不是改代码，而是配置 Git 或 Go 的代理行为：
- 对 Git 仓库：设置
git config --global http."https://git.example.com/".sslCAInfo /path/to/ca.crt，让 Git 自己用这个 CA 验证 - 对 Go 的 module proxy（如
GOPROXY=https://proxy.golang.org）：不需要动，它走公网可信 CA；但如果你用私有 proxy（如 Athens），则 proxy 服务自身需配置好证书信任，客户端无需额外操作 - 不要试图在
go env -w GODEBUG=...里 hack TLS 行为——Go 不提供此类调试开关
真正麻烦的是 CI 环境：Docker 容器里没有你的 ca.crt，也没有系统证书库。每次构建前必须 COPY 证书文件，并在 Go 程序启动时显式加载。漏掉这一步，本地能跑，CI 必跪。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
