必须用app.listentls，不能套http.listenandservetls；因*fiber.app未实现http.handler接口，硬传会导致编译失败或panic；正确方式是app.listentls(":443", "fullchain.pem", "key.pem")，并确保证书链完整、私钥未加密、换行符为lf、权限0600，自签名证书需含subjectaltname扩展。
必须用 app.ListenTLS，不能套 http.ListenAndServeTLS
Fiber 的 *fiber.App 不实现 http.Handler 接口，硬传给 http.ListenAndServeTLS 会直接编译失败或 panic：「cannot use app (type *fiber.App) as type http.Handler」。这不是拼写错误或漏导包的问题，是 Go 类型系统在拦截。唯一合法入口是 app.ListenTLS(":443", "fullchain.pem", "key.pem")。
fullchain.pem 和 key.pem 格式要求极严
任一文件出错都会静默失败（无明确日志），常见现象是 TLS 握手卡住、curl 报 tls: failed to find any PEM data 或客户端提示证书不可信：
-
fullchain.pem必须包含：域名证书 + 所有中间 CA 证书（如 Let’s Encrypt 的chain.pem）；只放cert.pem会导致 iOS/Java 客户端报x509: certificate signed by unknown authority；合并命令：cat cert.pem chain.pem > fullchain.pem -
key.pem必须未加密（不能是openssl genrsa -aes256直接生成的）；解密命令：openssl rsa -in key.pem.enc -out key.pem - 两个文件换行符必须为 LF（Unix 风格）；含 CRLF 会触发解析失败；修复命令：
dos2unix fullchain.pem key.pem - Linux/macOS 下私钥权限建议设为
0600；Go 标准库crypto/tls会拒绝加载0644权限的私钥，Fiber 不校验但底层静默退出
自签名证书调试时 Chrome 拒绝连接？缺 subjectAltName
Chrome 90+ 对自签名证书要求更严格，仅 CN 匹配已无效。生成时必须显式添加 SAN 扩展：
- 命令示例：
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -addext "subjectAltName = DNS:localhost,IP:127.0.0.1" - 必须同时覆盖
DNS和IP，否则访问https://localhost:443或https://127.0.0.1:443都会报ERR_CERT_COMMON_NAME_INVALID - 此时
cert.pem已含完整链，可直接当fullchain.pem用，但保持文件名一致更稳妥
需要自定义 http.Server 字段（如超时）？用 app.Listener()
app.ListenTLS 封装了默认 http.Server，若需设置 ReadTimeout、WriteTimeout 或 IdleTimeout，必须手动构造：
- 调用
ln, err := app.Listener("tcp", ":443")获取监听器 - 创建自定义
http.Server，把app.Handler()传给Handler字段（注意：Fiber v3 起才支持此方式） - 再调用
server.ServeTLS(ln, "fullchain.pem", "key.pem")
最容易被忽略的是：证书链完整性、私钥是否加密、以及自签名证书缺失 SAN——这三个点占 HTTPS 启动失败的 90% 以上，且几乎不报具体错误，只能靠验证命令逐项排除：openssl x509 -in cert.pem -text -noout、openssl rsa -in key.pem -check -noout。
