Go 的 http.Server 不自动预警或热更新 TLS 证书，需通过 TLSConfig.GetCertificate 实现按需加载：每次握手时解析证书 NotAfter 字段校验有效期，并用带时效的缓存避免过期证书被复用。
证书过期前没预警，服务就直接断连？
Go 的 http.Server 不会自动检查证书有效期，也不会在过期前主动 reload。一旦证书过期，新 TLS 握手就会失败，错误通常是 x509: certificate has expired or is not yet valid。这不是配置问题，是时间到了——你得自己管生命周期。
关键不是“等它过期再换”，而是把证书加载从启动时的静态行为，变成运行时按需触发的逻辑。核心靠 TLSConfig.GetCertificate，而不是依赖 TLSConfig.Certificates 数组。
-
GetCertificate在每次握手时调用，天然支持热更新：只要函数内部能返回新证书，旧连接不受影响，新连接立刻用新证 - 别碰
server.TLSConfig.Certificates—— 启动后改它完全无效，Go 只读一次 - 加缓存（比如
sync.Map）避免每次握手都读磁盘；但缓存要带有效期检查，不能只靠 key 存在就返回
如何让 GetCertificate 主动感知证书是否快过期？
不能只看文件修改时间，得真读证书内容、解析 NotAfter 字段。否则文件没变但证书已过期，缓存还一直返回旧的。
- 每次
GetCertificate调用时，先查缓存；若命中，再检查缓存项里证书的Leaf.NotAfter是否距现在 - 过期或即将过期，就强制重新加载：调用
tls.LoadX509KeyPair，解析 PEM，校验私钥匹配、SAN、签名算法等 - 加载失败不能 panic，应返回
nil, err，让 Go fallback 到TLSConfig.Certificates[0]（如有）或报错中断握手 - 建议在后台 goroutine 里定期（如每小时）预加载并验证，提前暴露问题，而不是等到用户访问才爆
ACME 自动续期 + 动态加载怎么串起来？
用 golang.org/x/crypto/acme/autocert 是最省事的方案，但它默认不兼容自定义 GetCertificate——它自己实现了整套管理逻辑，包括缓存、续期、存储。
- 如果你用
autocert.Manager，就别自己写GetCertificate：直接把它的GetCertificate方法赋给TLSConfig.GetCertificate - 它会在证书过期前 72 小时自动尝试续期，成功后自动更新内存缓存，无需重启
- 注意它默认把证书存到本地目录（如
cache-dir），首次启动时会阻塞等待 ACME 流程完成，生产环境务必设好Prompt和HostPolicy - 不推荐混合使用：一边用
autocert管理证书，一边自己监听文件变更，容易竞态或覆盖
私钥权限、证书链顺序这些细节还会导致“过期错觉”
很多报 certificate has expired 的 case，其实根本不是时间问题，而是证书加载失败后 fallback 到了某个过期的默认证书，或者压根没加载成功，用了空配置。
- 私钥权限必须是
0600（Linux/macOS），否则LoadX509KeyPair静默失败，GetCertificate返回nil，最终用的是空证书数组 → 握手失败，错误可能被误读为过期 - 证书文件必须是
fullchain.pem：服务器证书在前，中间证书紧随其后，**不能含根证书**，且所有块之间不能有空行或 CRLF - 自签名证书必须带 SAN（
DNS:example.com或IP:10.0.0.1），否则现代 Go 版本（≥1.19）在解析时就报错，不会等到过期才挂
证书过期本身不可怕，可怕的是把它当成纯运维任务，和代码逻辑割裂。真正难的是把证书当作运行时状态来管理：加载、验证、缓存、失效、重载——每个环节都要有明确的错误分支和可观测性。否则某天凌晨三点，你收到告警点开一看，发现只是因为忘了给 key.pem 改权限。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
