tls.LoadX509KeyPair不支持密码保护私钥，因其底层x509解析函数不接受密码参数；必须先用x509.DecryptPEMBlock或OpenSSL解密为无密码PEM后，再调用tls.X509KeyPair或LoadX509KeyPair加载。
Go 的 crypto/tls 不支持直接加载带密码保护的私钥文件（如用 -des3 或 -aes256 加密的 server.key）。 调用 tls.LoadX509KeyPair 时若私钥被密码加密，会返回 x509: decryption password incorrect 或类似错误 —— 它根本不会提示你输密码，而是直接失败。
为什么 tls.LoadX509KeyPair 无法处理密码保护的私钥
因为 tls.LoadX509KeyPair 底层只调用 x509.ParsePKCS1PrivateKey 和 x509.ParsePKCS8PrivateKey，这两个函数**不接受密码参数**，仅支持无密码的 PEM 块（即 -----BEGIN RSA PRIVATE KEY----- 或 -----BEGIN PRIVATE KEY----- 且中间无 DEK-Info 头）。OpenSSL 生成的带密码私钥（如用 openssl genrsa -aes256）会在 PEM 头部包含加密信息，Go 标准库不处理它。
必须先解密私钥文件再交给 Go 使用
生产中常见做法是：在启动 Go 服务前，用 OpenSSL 命令行临时解密，或在代码里用 x509.DecryptPEMBlock 手动解密。推荐后者，避免明文私钥落盘。
- 读取 PEM 文件内容，用
pem.Decode提取加密的 block - 检查 block.Type 是否为
"ENCRYPTED PRIVATE KEY"或"RSA PRIVATE KEY"（带DEK-Info行） - 调用
x509.DecryptPEMBlock(block, []byte("your-password"))得到明文 DER - 再用
x509.ParsePKCS1PrivateKey或x509.ParsePKCS8PrivateKey解析 - 最后用
tls.X509KeyPair（注意不是LoadX509KeyPair）组合证书和解密后的私钥
示例关键片段：
加密货币跨交易所套利监控器，实时监控BTC/ETH/SOL等主流币在各交易所价差，发现套利机会后通过飞书/Telegram预警，自动计算扣除手续费后的净利润。
block, _ := pem.Decode(pemBytes)
if block == nil {
log.Fatal("failed to decode PEM")
}
privDER, err := x509.DecryptPEMBlock(block, []byte("mypass"))
if err != nil {
log.Fatal("decrypt failed:", err)
}
privKey, err := x509.ParsePKCS1PrivateKey(privDER)
if err != nil {
privKey, err = x509.ParsePKCS8PrivateKey(privDER) // fallback
}
cert, err := tls.X509KeyPair(certPEMBytes, x509.MarshalPKCS1PrivateKey(privKey))
使用 openssl 命令提前解密更简单但有风险
如果部署流程允许，用 OpenSSL 把带密码私钥转成无密码版本是最省事的方案，尤其适合容器化部署（如 initContainer 阶段做）：
openssl rsa -in server.key.enc -out server.key -passin pass:mypass- 确保
server.key权限为0600，且不进 Git - Go 代码里继续用
tls.LoadX509KeyPair("fullchain.pem", "server.key")
⚠️ 注意：-passin pass:mypass 会把密码暴露在进程命令行中（ps aux 可见），在共享主机上不安全；生产环境建议用 -passin file:/path/to/passfile 从文件读取。
真正容易被忽略的是：即使你用了 x509.DecryptPEMBlock，也得确认私钥格式是否匹配 —— OpenSSL 生成的 PKCS#8 加密私钥（-----BEGIN ENCRYPTED PRIVATE KEY-----）和传统 PKCS#1（-----BEGIN RSA PRIVATE KEY-----）解法不同，DecryptPEMBlock 只支持前者；后者需先用 OpenSSL 转成 PKCS#8：openssl pkcs8 -topk8 -in server.key -out server.key.pk8 -passin pass:mypass -v2 aes256。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
