go私有仓库证书过期时，go mod tidy报x509: certificate has expired，根本原因是go默认严格校验证书有效期且不读系统ca库；insecureskipverify无效因go工具链底层调用git而非http.client，唯一有效解是配合goprivate使用goinsecure环境变量跳过对应域名的tls校验。
私有 Git 服务器或 Go module proxy 使用过期证书时，go mod tidy 或 go get 会卡在 TLS 握手阶段，报 x509: certificate has expired —— 这不是网络不通，也不是代理配置错，而是 Go 默认严格执行证书有效期校验，且不读系统时间或系统 CA 库。
为什么 InsecureSkipVerify = true 不起作用？
设了 InsecureSkipVerify = true 却仍失败，常见于两种情况：
- Go 调用的是
git命令拉取代码（HTTPS 协议），而该配置只影响 Go 自身的net/http客户端，对git无效 - 你改的是全局
http.DefaultTransport，但go工具链根本不用它——它底层走的是exec.Command("git", ...) - 即使你手动构造了带
InsecureSkipVerify的 HTTP 客户端去测服务端，也和go mod行为无关
GOINSECURE 是唯一能绕过 git HTTPS 证书校验的开关
GOINSECURE 是 Go 1.13+ 引入的环境变量，专为私有仓库设计，它让 Go 在解析模块路径匹配的域名时，跳过 TLS 证书验证（包括过期、域名不匹配、未知 CA）。
- 必须与
GOPRIVATE配合使用：仅当模块路径匹配GOPRIVATE时，GOINSECURE才生效 - 写法严格：
GOINSECURE=git.example.com（不能带协议、端口、路径；多个用逗号分隔，无空格） - 验证是否生效：
go env GOINSECURE输出应含目标域名；再跑go mod download -x git.example.com/mylib@v1.0.0，看日志里是否出现insecure mode enabled - 注意：它不影响 SSH 协议，也不影响
git clone的独立行为——如果git自己报 SSL 错误，还得单独配git config --global http."https://git.example.com/".sslVerify false
真正安全的长期方案：换证书 or 加载可信根
开发环境用 GOINSECURE 可行，但上线前必须解决根源。过期证书背后往往是整条信任链问题：
- 若私有 CA 根证书未过期，只是中间证书或服务端证书过期 → 更新服务端证书即可，无需动客户端
- 若用自签证书且不想换 → 把 PEM 格式根证书（
my-ca.crt）放进目录（如/etc/go-ca/），然后设置GOCERTIFICATEPATH=/etc/go-ca/（Go 1.21+ 支持） - Git 仍需单独信任：执行
git config --global http."https://git.example.com/".sslCAInfo /etc/go-ca/my-ca.crt - 不要用
export GIT_SSL_NO_VERIFY=1—— 它绕过所有校验，且不区分域名，风险不可控
最易被忽略的一点：Go 工具链对证书有效期的检查是硬性拦截，不依赖系统时间同步；但如果你的私有 Git 服务器时间本身不准（比如嵌入式设备），哪怕证书没过期，也可能因 NotBefore/NotAfter 时间戳校验失败而报错 —— 此时得先校准服务端时间，而不是改客户端配置。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
