echo框架https必须用e.runtls方法，不能传e给http.listenandservetls因类型不匹配；certfile需含完整证书链（域名证+中间ca）、私钥未加密且权限0600、证书须含san（dns:localhost,ip:127.0.0.1）。
echo.RunTLS 是唯一正确的 HTTPS 启动方式
直接把 echo.Echo 实例传给 http.ListenAndServeTLS 会编译失败或 panic，因为类型不匹配：前者是自定义结构体，后者只接受 http.Handler。Echo 框架封装了 TLS 启动逻辑，必须用它自己的 RunTLS 方法。
常见错误现象：cannot use e (type *echo.Echo) as type http.Handler in argument to http.ListenAndServeTLS
-
RunTLS(addr, certFile, keyFile string)内部已处理证书加载、TLS 配置和端口监听，无需手动构造http.Server - 若需自定义
http.Server（如设置 ReadTimeout），应改用e.StartServer(server)，再手动调用server.ListenAndServeTLS - 证书路径仍需为绝对路径——
RunTLS不做路径转换，相对路径在容器或 systemd 下极易失效
证书链顺序和私钥格式必须严格满足 Go TLS 要求
Go 的 crypto/tls 对证书文件内容极其敏感，错一个换行或少一段中间证书都会导致 tls: failed to find any PEM data in certificate input。
使用场景：Let’s Encrypt 证书、自签名证书、mkcert 生成的证书都适用同一规则。
-
certFile必须是服务器证书 + 中间证书拼接而成（如fullchain.pem），顺序不能颠倒：先域名证书，再中间 CA - 私钥必须未加密（不含
DEK-Info行），且权限为0600（Linux/macOS）；Windows 上必须用 LF 换行，CRLF 会导致静默失败 - 本地开发用
localhost时，证书必须含 SAN：DNS:localhost, IP:127.0.0.1；仅靠CN=localhost在 Go ≥1.19 已不够 - 验证命令：
openssl x509 -in cert.pem -text -noout | grep -A1 "Subject Alternative Name"
autocert 自动配置 HTTPS 需分离 HTTP/HTTPS 端口
想让 Echo 自动申请并续期 Let’s Encrypt 证书？别试图把 autocert.Manager 塞进 RunTLS——它不是证书文件，而是运行时管理器，且必须配合独立的 HTTP 服务响应 ACME 挑战。
关键限制：80 端口必须可被公网访问，且域名 DNS 已解析到该机器。
- HTTP 服务跑在
:80，仅用于响应/.well-known/acme-challenge/，handler 由mgr.HTTPHandler(nil)提供 - HTTPS 服务跑在
:443，用echo.RunTLS(":443", "", "")，此时前两个参数留空，由autocert.Manager.TLSConfig动态提供证书 - 本地测试务必用 staging 地址：
Cache: autocert.DirCache("/tmp/certs")+Client: &acme.Client{DirectoryURL: "https://acme-staging-v02.api.letsencrypt.org/directory"} - HostPolicy 示例：
func(ctx context.Context, host string) error { if strings.Contains(host, "example.com") { return nil }; return fmt.Errorf("host not allowed") }
客户端调用本地 HTTPS 服务时证书信任问题
你的 Echo 服务启用了 HTTPS，但另一个 Go 程序调它时却报 x509: certificate signed by unknown authority——这不是服务端配错了，是客户端默认不信任你本地的证书根。
尤其当用 mkcert 或自签名证书时，这个错误几乎必然出现。
- 开发阶段最简方案：
http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}（仅限调试） - 更稳妥的做法：读取 mkcert 的 rootCA.pem（路径由
mkcert -CAROOT输出），用x509.NewCertPool()+AppendCertsFromPEM()加载后注入TLSClientConfig.RootCAs - 注意：只加载
-----BEGIN CERTIFICATE-----块，绝不能塞私钥或服务器证书进去 - 浏览器访问 localhost 时，mkcert 生成的证书会被自动信任；但 Go 客户端不读系统钥匙串，必须显式配置
最易被忽略的点：证书链顺序、私钥是否加密、SAN 是否完整——这三个条件缺一不可，任一出错都会让 RunTLS 在启动瞬间 panic，且错误信息模糊。建议每次部署前用 openssl verify -CAfile fullchain.pem cert.pem 和 openssl rsa -check -in key.pem 手动校验。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
