beego启动https必须设enablehttps=true并配置httpscertfile、httpskeyfile路径，不能直接调用http.listenandservetls；否则静默失败或panic，且证书链不全、私钥加密、权限非0600、crlf换行符、自签名缺san均导致tls握手失败。
Beego 启动 HTTPS 必须靠 EnableHTTPS + 证书路径配置，不能直接调用 http.ListenAndServeTLS；否则会静默失败或 panic，且证书链拼错、私钥权限不对、换行符是 CRLF 都会导致 TLS 握手卡住或报 tls: failed to find any PEM data。
Beego 的 HTTPS 启动机制不是标准库封装
Beego 不提供类似 RunTLS 的显式方法，而是通过配置驱动：它在 beego.Run() 内部检测 EnableHTTPS = true，再调用 http.ListenAndServeTLS。但前提是它必须能拿到合法的 http.Handler（即 beego.BeeApp.Handlers），这个逻辑对用户透明——你改配置就行，不用碰底层 Server。
常见误操作：
- 手动写
http.ListenAndServeTLS(":443", "cert.pem", "key.pem", beego.BeeApp)→ 编译不报错但运行 panic：类型不匹配，*beego.App不是http.Handler - 用旧版 Beego v1.x 的配置项（如
EnableHttpTLS）在 v2 中已废弃，会被忽略，HTTPS 不生效 - 证书路径写相对路径（如
"./certs/server.crt"），但 Beego 默认工作目录是可执行文件所在目录，不是项目根目录
证书文件必须满足 PEM 格式三要素
Beego 底层仍调用 tls.LoadX509KeyPair，和标准库要求完全一致。出问题最多的是证书链不全、私钥加密、换行符错误。
- Let’s Encrypt 用户必须用
fullchain.pem（cert + intermediate CA），不能只传cert.pem；否则 iOS/Java 客户端握手失败，浏览器报NET::ERR_CERT_AUTHORITY_INVALID - 阿里云/腾讯云下载的 Nginx 包通常含
xxx.pem（证书）和xxx.key（私钥），但有些厂商把中间证书放在单独的xxx_chain.crt里，需手动合并：cat xxx.pem xxx_chain.crt > server.crt - 私钥若用
openssl genrsa -aes256生成，必须先解密：openssl rsa -in server.key.enc -out server.key；Beego 不提示“密钥被加密”，只会在启动时卡在 TLS handshake 阶段 - Windows 下编辑过的证书文件可能含 CRLF 换行符，导致解析失败；用
dos2unix server.crt server.key修复
app.conf 中的 HTTPS 配置项与权限细节
Beego v2 使用 INI 格式配置，关键项必须小写、严格对齐，且私钥文件在 Linux 上权限必须为 0600，否则 Go 的 crypto/tls 包会拒绝加载（Windows 不校验但建议统一）。
-
EnableHTTPS = true：启用 HTTPS，必须设为true（字符串，不是布尔字面量） -
HttpsPort = 443：端口可自定义，但若非 443，客户端需显式带端口访问（如https://example.com:8443） -
HTTPSCertFile = "server.crt"：路径相对于可执行文件目录，不是conf/目录 -
HTTPSKeyFile = "server.key"：同上；文件名不强制后缀，但内容必须是 PEM 格式私钥 - 安全组/防火墙必须放行对应端口（如云服务器要开 443）
自签名证书调试要注意 subjectAltName
Chrome 90+、Firefox、Safari 对自签名证书校验更严，仅填 Common Name = localhost 不够，必须包含 subjectAltName 扩展，否则报 ERR_CERT_COMMON_NAME_INVALID。
生成命令示例（Linux/macOS）：
openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt -days 365 \ -subj "/CN=localhost" \ -addext "subjectAltName = DNS:localhost,IP:127.0.0.1"
注意：
-
-addext是 OpenSSL 1.1.1+ 才支持，旧版本需用配置文件方式 - 生成后务必检查 CRT 是否含 SAN 字段：
openssl x509 -in server.crt -text -noout | grep -A1 "Subject Alternative Name" - 浏览器首次访问会提示“不安全”，需手动点“高级→继续访问”，后续才可正常调试
最易被忽略的一点：Beego 不校验私钥权限，但 Go 标准库会——哪怕配置全对、证书格式也对，只要 server.key 权限是 0644，Linux 下就静默退出，日志里没有任何提示。遇到“启动没反应、端口没监听”，第一反应该查 ls -l server.key。
