Go 的 http.Server 启用 HTTPS 需用 http.ListenAndServeTLS 或显式配置 tls.Config；证书须 PEM 格式且含完整链，私钥需 chmod 600；HTTP 跳转 HTTPS 应监听 :80 并 301 重定向；Let’s Encrypt 推荐 autocert 自动管理。
Go 的 http.Server 如何启用 HTTPS
Go 原生不支持在 http.ListenAndServe 中直接传入证书启动 HTTPS，必须用 http.Server 显式配置 TLS。最简方式是调用 http.ListenAndServeTLS，它内部封装了 http.Server 并启用 TLS：
http.ListenAndServeTLS(":443", "server.crt", "server.key", nil)
注意：server.crt 必须是 PEM 格式证书（含完整证书链），server.key 是对应私钥（未加密、无密码保护）。若私钥被加密，会 panic 报错 tls: failed to parse private key。
证书路径错误或权限不足的典型表现
运行时出现 open server.crt: no such file or directory 或 permission denied，常见原因有：
- 路径写成相对路径（如
"certs/server.crt"），但二进制执行位置与预期不符 —— 建议用绝对路径或通过os.Executable()动态拼接 - 证书文件权限过于宽松（如私钥 644）—— Linux/macOS 下 Go 的 crypto/tls 会拒绝加载，需改为
chmod 600 server.key - 证书链不全：浏览器提示“NET::ERR_CERT_AUTHORITY_INVALID”，说明
server.crt里没包含中间 CA 证书 —— 用cat domain.crt intermediate.crt > server.crt合并
HTTP 自动跳转 HTTPS 的安全写法
不要在同一个端口混用 HTTP/HTTPS，推荐独立监听 :80 并 301 重定向到 https://：
立即学习“go语言免费学习笔记（深入）”；
go func() {
http.RedirectHandler("https://example.com/", http.StatusMovedPermanently)
log.Fatal(http.ListenAndServe(":80", nil))
}()
关键点：
- 重定向目标必须带完整协议和域名（不能写
https://或//），否则浏览器可能降级为 HTTP - 若服务部署在反向代理（如 Nginx）后，且代理已终止 TLS，则 Go 应只监听 HTTP，并信任
X-Forwarded-Proto头做跳转 —— 此时不应启用ListenAndServeTLS -
http.Redirect默认用 302，生产环境务必显式指定http.StatusMovedPermanently（即 301）以利于 SEO 和客户端缓存
使用 Let’s Encrypt 的最小可行方案
手动更新证书麻烦，推荐用 autocert 包自动申请和续期：
mgr := autocert.Manager{
Prompt: autocert.AcceptTOS,
HostPolicy: autocert.HostWhitelist("example.com"),
Cache: autocert.DirCache("/var/www/certs"),
}
srv := &http.Server{
Addr: ":443",
TLSConfig: &tls.Config{GetCertificate: mgr.GetCertificate},
}
log.Fatal(srv.ListenAndServeTLS("", ""))
注意：
-
DirCache路径需可读写，且进程有权限创建目录 —— 首次运行会自动申请证书，耗时约数秒到一分钟 - 必须确保
:80端口可被公网访问（Let’s Encrypt 会发起 HTTP-01 挑战），否则申请失败报错acme: error: 400 :: POST :: https://acme-v02.api.letsencrypt.org/acme/authz-v3/... :: urn:ietf:params:acme:error:connection -
ListenAndServeTLS的前两个参数留空（""），由autocert动态提供证书，填了反而会覆盖
自签名证书仅适合测试；生产环境用 Let’s Encrypt 或商业证书，且务必验证证书链完整性与私钥权限 —— 这两点出问题，90% 的 HTTPS 异常都源于此。
