Golang中实现HTTPS需配置TLS，服务端用http.ListenAndServeTLS或自定义tls.Config强化安全，客户端通过http.Transport配置证书验证，推荐使用Let's Encrypt自动管理证书，禁用不安全协议与加密套件。
在Golang中实现HTTPS安全访问，核心在于正确配置TLS（传输层安全协议），无论是作为服务端提供HTTPS接口，还是作为客户端安全调用第三方HTTPS服务。以下是常见的实现方法和最佳实践。
使用标准库 net/http 启动 HTTPS 服务
Go 的 net/http 包原生支持 HTTPS，只需调用 http.ListenAndServeTLS 方法，并提供证书文件和私钥文件路径。
注意：证书必须是合法的PEM格式，且域名匹配。示例代码：
package main
import (
"net/http"
"log"
)
func main() {
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("Hello, HTTPS!"))
})
// 启动 HTTPS 服务
log.Fatal(http.ListenAndServeTLS(":443", "server.crt", "server.key", nil))
}
自定义 TLS 配置提升安全性
直接使用默认 TLS 配置可能不够安全。可以通过 &tls.Config{} 显式控制加密套件、协议版本和证书验证行为。
立即学习“go语言免费学习笔记（深入）”；
常见优化项包括：
- 禁用不安全的旧版本（如 TLS 1.0 和 1.1）
- 指定强加密套件（如 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384）
- 启用 OCSP Stapling 和会话复用
示例：
config := &tls.Config{
MinVersion: tls.VersionTLS12,
CurvePreferences: []tls.CurveID{tls.CurveP521, tls.CurveP384, tls.CurveP256},
PreferServerCipherSuites: true,
CipherSuites: []uint16{
tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
},
}
srv := &http.Server{
Addr: ":443",
Handler: nil,
TLSConfig: config,
}
log.Fatal(srv.ListenAndServeTLS("server.crt", "server.key"))
HTTP 客户端安全访问 HTTPS 接口
当 Go 程序作为客户端请求外部 HTTPS 服务时，默认会验证服务器证书。若需自定义行为（如跳过验证或添加 CA），应配置 http.Transport。
生产环境禁止跳过证书验证，仅在测试时临时使用。
跳过验证示例（不推荐用于生产）：
tr := &http.Transport{
TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}
client := &http.Client{Transport: tr}
resp, err := client.Get("https://example.com")
添加自定义 CA 证书（推荐方式）：
caCert, err := ioutil.ReadFile("ca.crt")
if err != nil {
log.Fatal(err)
}
caPool := x509.NewCertPool()
caPool.AppendCertsFromPEM(caCert)
tr := &http.Transport{
TLSClientConfig: &tls.Config{RootCAs: caPool},
}
client := &http.Client{Transport: tr}
使用 Let's Encrypt 免费证书
可结合 autocert 包自动从 Let's Encrypt 获取并刷新证书，适合公开 Web 服务。
示例：
import "golang.org/x/crypto/acme/autocert"
mgr := autocert.Manager{
Prompt: autocert.AcceptTOS,
HostPolicy: autocert.HostWhitelist("yourdomain.com"),
Cache: autocert.DirCache("/var/www/.cache"),
}
srv := &http.Server{
Addr: ":443",
Handler: nil,
TLSConfig: &tls.Config{GetCertificate: mgr.GetCertificate},
}
// 处理 HTTP 到 HTTPS 重定向
go http.ListenAndServe(":80", mgr.HTTPHandler(nil))
log.Fatal(srv.ListenAndServeTLS("", ""))
该方式自动完成 ACME 协议验证，无需手动管理证书文件。
基本上就这些。关键是根据角色（服务端或客户端）选择合适的 TLS 配置策略，优先使用标准库能力，避免弱加密设置。安全始于细节。
