Go微服务启用mTLS必须同时满足四条件：服务端设ClientAuth为tls.RequireAndVerifyClientCert、ClientCAs非空且字节级匹配、客户端主动提供完整证书链且私钥权限≤0600、服务端与客户端证书SAN字段完整正确，缺一则退化为单向TLS或握手失败。
Go 微服务间启用 mTLS 不是“配了证书就通”，而是必须同时满足服务端强制校验、客户端主动出示、CA 信任链完整、SAN 字段正确这四个硬性条件，缺一即退化为单向 TLS 或直接握手失败。
服务端必须设 ClientAuth: tls.RequireAndVerifyClientCert
这是整个 mTLS 是否真正生效的开关。默认值 tls.NoClientCert 完全不检查客户端证书；tls.VerifyClientCertIfGiven 允许无证书请求静默通过；只有 tls.RequireAndVerifyClientCert 能确保每次连接都携带并验证客户端证书。
- 服务端
tls.Config.ClientCAs必须是非空的*x509.CertPool，且内容必须和客户端所用 CA 的 PEM 字节完全一致——不能传文件路径，也不能只传nil或空池 - 服务端自己的证书仍走
Certificates字段，和单向 HTTPS 一样；千万别把服务端证书塞进ClientCAs，否则校验必败 - 若用
http.Server，需显式赋值srv.TLSConfig = &tls.Config{...}，再调srv.ListenAndServeTLS("", "")；传空字符串可避免被默认逻辑覆盖
客户端证书加载与 RootCAs 别填反
RootCAs 和 Certificates 是两个完全独立、不可互换的字段：前者只负责验证服务端身份（填服务端 CA 根证书），后者只用于向服务端自证身份（填客户端证书+私钥）。
- 用
tls.LoadX509KeyPair("client.crt", "client.key")加载客户端证书对，私钥权限必须 ≤0600，否则 Go 静默返回空tls.Certificate -
client.crt必须含完整链：leaf 证书在前，中间 CA 在后；root CA 单独交给RootCAs，不能混入 -
http.Transport.TLSClientConfig.RootCAs必须加载服务端 CA 的根证书池（不是服务端公钥证书），否则报x509: certificate signed by unknown authority -
InsecureSkipVerify: true是裸奔开关，CI/CD 应扫描拦截，正式环境绝不能留
自签名证书必须带 subjectAltName（SAN）
Go 1.19+ 的 crypto/tls 对 SAN 强制校验，尤其在 HTTP/2（如 gRPC）场景下。OpenSSL 默认生成的证书不含 SAN，会导致握手直接失败。
- 生成服务端证书时，必须用配置文件或
-addext显式添加subjectAltName，例如：subjectAltName = DNS:localhost,IP:127.0.0.1 - 客户端证书同样需要 SAN（如
DNS:service-a），否则服务端校验客户端身份时失败 - 若服务端证书 SAN 不含请求目标（如用 IP 访问但证书只写了 DNS），客户端必须显式设置
ServerName字段，否则触发x509: certificate is valid for xxx, not yyy
gRPC 的 mTLS 配置与 HTTP 不互通
gRPC 不复用 http.Server 的 TLS 配置，也不接受 http.ListenAndServeTLS 的参数。它的 mTLS 是独立路径，且服务端/客户端配置缺一不可。
- 服务端启动必须用
grpc.Creds(credentials.NewTLS(tlsConfig))，其中tlsConfig同样要设ClientAuth: tls.RequireAndVerifyClientCert - 客户端 Dial 时，需用
grpc.WithTransportCredentials(credentials.NewTLS(clientTLSConfig))，其中clientTLSConfig.RootCAs必须加载服务端 CA -
credentials.NewClientTLSFromCert不支持双向认证，仅用于单向 TLS 场景；mTLS 必须用credentials.NewTLS(&tls.Config{}) - 服务发现层（如 etcd、Consul）本身不是安全边界，注册时必须携带可验证的身份凭证（如 SPIFFE URI），拉取实例后仍需校验证书
Subject或SAN字段
最容易被忽略的是证书生命周期管理——自建 CA + cert-manager 自动轮换比手动生成更可持续；Go 生态的 tls.Config 不自动 reload，需配合 fsnotify 或重启触发，否则新证书永远不生效。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
