Go的http.ListenAndServeTLS仅支持PEM格式证书和私钥，需确保证书含服务器及中间CA（不含根CA）、私钥未加密，参数顺序为地址、证书路径、私钥路径；HTTP跳转需另启端口服务；Let’s Encrypt续期须用autocert包并配置缓存与挑战路径。
证书和私钥文件必须是 PEM 格式
Go 的 http.ListenAndServeTLS 不接受 DER、PFX 或其他格式，只认 PEM 编码的证书链和 RSA/ECDSA 私钥。常见错误是直接用 openssl pkcs12 -in cert.pfx 导出却忘了加 -nodes 和 -nocerts 分离私钥，或漏掉中间证书导致客户端验证失败。
- 证书文件（如
cert.pem）应包含服务器证书 + 所有中间 CA 证书（按顺序拼接），但不能含根 CA - 私钥文件（如
key.pem）必须未加密（即无密码），否则ListenAndServeTLS会静默失败或 panic - 可用
openssl x509 -in cert.pem -text -noout和openssl rsa -in key.pem -check -noout验证格式有效性
ListenAndServeTLS 的参数顺序不能颠倒
http.ListenAndServeTLS 第二个参数是证书路径，第三个是私钥路径——顺序反了会报 tls: failed to find any PEM data in certificate input，因为 Go 把私钥当证书读，而私钥开头是 -----BEGIN RSA PRIVATE KEY-----，不被当作有效证书块。
http.ListenAndServeTLS(":443", "cert.pem", "key.pem", nil)
- 第一个参数是监听地址，支持
":443"或"localhost:8443"；空字符串会 panic - 若证书或私钥路径错误，错误信息不会直接暴露在日志里，需检查
error返回值并打印 - 不建议在生产环境传
nil作为 handler，至少应传&http.ServeMux{}明确意图
HTTP 到 HTTPS 的自动跳转需要单独启动 HTTP 服务
Go 标准库不内置重定向逻辑。常见做法是另起一个 http.Server 监听 :80，对所有请求返回 301 跳转到 https://$host$request_uri。注意 Host 头可能为空或不可信，应校验或使用配置的域名。
go func() {
http.RedirectHandler("https://example.com"+r.RequestURI, http.StatusMovedPermanently).ServeHTTP(w, r)
}()
- 不要在 TLS server 内部做 HTTP 重定向——那需要同时监听两个端口，必须两个 goroutine 启动
- 若用反向代理（如 Nginx）终止 TLS，则 Go 服务只需跑 HTTP，跳转由前置组件处理
- 本地开发时，
localhost域名无法使用 Let’s Encrypt，建议用mkcert生成可信自签名证书
Let’s Encrypt 自动续期需用 autocert 包而非手动替换文件
手动替换 cert.pem 和 key.pem 不会生效，因为 ListenAndServeTLS 只在启动时读一次文件。要用 golang.org/x/crypto/acme/autocert，它通过 ACME 协议与 Let’s Encrypt 交互，并在内存中缓存证书，自动刷新过期证书。
立即学习“go语言免费学习笔记（深入）”；
-
autocert.Manager必须设置Cache（如autocert.DirCache("/var/www/.cache")），否则每次重启都重新申请 - HTTP-01 挑战要求
:80端口可访问，且/.well-known/acme-challenge/路径能被公网访问到 - 首次申请可能触发速率限制，测试阶段应使用 Let’s Encrypt 的 staging 环境（
Cache: autocert.DirCache("/tmp/cert")+HostPolicy: autocert.HostWhitelist("example.com")）
autocert 的缓存和挑战路径，线上部署时最容易被忽略。 
