go 默认不信任自签名证书，因 net/http 校验失败报“x509: certificate signed by unknown authority”；解决方式优先级为 git_ssl_cainfo 环境变量 > goprivate 配置 > goinsecure 临时跳过，需确保证书格式正确、路径匹配且 git 配置未覆盖。
为什么 go get 会因自签名证书失败
Go 默认只信任系统根证书，不读取 SSL_CERT_FILE 或 CURL_CA_BUNDLE 环境变量。当你在企业内网用自签名 CA 部署私有模块仓库（比如 GitLab、Nexus、Gitea）时，go get 或 go mod download 会直接报错：x509: certificate signed by unknown authority。
这不是 Go 模块本身的问题，而是底层 HTTP 客户端（net/http）校验证书时拒绝了未被系统信任的根证书。
让 Go 命令信任自签名根证书的三种方式
优先级从高到低：环境变量 > 全局配置 > 临时绕过（仅调试）。
-
推荐：设置
GIT_SSL_CAINFO环境变量 —— Git 会用它验证 HTTPS Git 请求，而 Go 的模块拉取（尤其对 git 协议仓库）底层依赖 Git。把你的根证书路径填进去：export GIT_SSL_CAINFO=/path/to/your/company-root.crt
-
补充：设置
GOINSECURE（仅限私有域名） —— 对特定域名跳过 TLS 校验，不推荐全开：export GOINSECURE="git.internal.company.com,repo.company.dev"
注意：不能写*，必须是具体域名或子域名前缀 -
避免：改 Go 源码或 patch net/http —— 不可持续，升级 Go 版本后失效；也不要用
curl -k风格的全局禁用（如设置GIT_SSL_NO_VERIFY=true），这会让整个 Git 生态失去证书保护
私有模块仓库配置要点（go.mod + GOPRIVATE）
即使证书问题解决，Go 还要识别哪些模块走私有路径，否则仍会尝试去 proxy.golang.org 查找。
- 必须设置
GOPRIVATE，告诉 Go 哪些导入路径不走公共代理：export GOPRIVATE="git.internal.company.com/*,company.dev/internal/*"
-
go.mod中的replace或require行，模块路径需与GOPRIVATE规则匹配，否则 Go 仍可能尝试代理下载 - 如果用
go mod edit -replace指向本地路径或 SSH 地址（如git@git.internal.company.com:team/lib.git），确保 Git 能正常 clone —— 这又回到证书或 SSH key 是否就绪的问题
验证是否真正生效
别只看 go build 成功，要确认模块实际从私有源拉取且没走代理：
- 运行
go list -m -json all | grep -i 'origin\|version'，检查模块来源是否含你预期的私有域名 - 临时删掉
~/go/pkg/mod/cache/download/下对应模块缓存，再执行go mod download -x（带调试日志），观察输出里是否出现git fetch或https://git.internal.company.com/... - 如果仍报证书错误，检查
git config --global http.sslCAInfo是否覆盖了GIT_SSL_CAINFO，Git 配置优先级更高
最常被忽略的是：证书文件本身权限或格式不对（比如 PEM 缺少 -----BEGIN CERTIFICATE----- 头尾，或混入 Windows CRLF），以及 GOPRIVATE 和实际 import path 不完全匹配 —— 差一个 / 或大小写，Go 就当它是公开模块处理。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
