mkcert 生成的证书为什么浏览器不信任
因为 mkcert 创建的是本地自签名根证书，不是公共 CA 签发的；浏览器默认只信任系统级受信根证书，而 mkcert 的根证书需要手动安装到操作系统（或特定浏览器）的信任链里。
常见错误现象：NET::ERR_CERT_AUTHORITY_INVALID、CERTIFICATE_VERIFY_FAILED（Go 程序报错）、curl 提示 SSL certificate problem: self signed certificate in certificate chain。
实操建议：
- 运行
mkcert -install必须用管理员权限（macOS/Linux 用sudo，Windows 用管理员 PowerShell） - 安装后需重启浏览器（Chrome/Edge 基于 OS 信任库，Firefox 自带证书管理，需单独导入）
- 验证是否成功：执行
mkcert -CAROOT查看根证书路径，再检查该路径下是否存在rootCA.pem和rootCA-key.pem
Go server 启动 HTTPS 时 panic: no such file or directory
这是最常见的路径错误——Go 的 http.ListenAndServeTLS 要求两个参数：certFile 和 keyFile 必须是文件路径字符串，且文件必须存在、可读、格式正确（PEM 编码）。
立即学习“go语言免费学习笔记（深入）”；
使用场景：用 mkcert 生成证书对后，在 Go 代码中直接加载。
实操建议：
- 生成证书对时指定明确路径，例如：
mkcert -cert-file ./dev.crt -key-file ./dev.key localhost 127.0.0.1 ::1 - Go 中不要写相对路径如
"./dev.crt"而不确保工作目录一致；推荐用filepath.Join或硬编码绝对路径调试，或用os.Executable推导配置目录 - 检查文件内容：打开
dev.crt，确认以-----BEGIN CERTIFICATE-----开头；dev.key应以-----BEGIN PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----开头（mkcert 默认输出 PKCS#8）
Go 的 http.ListenAndServeTLS 与 http.Server.TLSConfig 怎么选
绝大多数本地开发场景用 http.ListenAndServeTLS 就够了；只有当你需要精细控制 TLS 行为（比如禁用旧协议、强制 HTTP/2、设置 ClientAuth）时，才需显式构造 http.Server 并配置 TLSConfig。
参数差异：
-
http.ListenAndServeTLS(addr, certFile, keyFile, handler)是封装好的快捷入口，内部自动创建http.Server并设置TLSConfig - 若需自定义，必须传入完整
*http.Server实例，其中TLSConfig.Certificates需用tls.LoadX509KeyPair(certFile, keyFile)加载，不能直接复用文件路径 - 注意：Go 1.19+ 默认启用 HTTP/2，但若
TLSConfig.NextProtos被覆盖却没包含"h2"，HTTP/2 会静默降级
简短示例（安全起见，本地开发也建议设最小 TLS 版本）：
srv := &http.Server{
Addr: ":8443",
Handler: myHandler,
TLSConfig: &tls.Config{
MinVersion: tls.VersionTLS12,
},
}
srv.ListenAndServeTLS("./dev.crt", "./dev.key")
mkcert 生成的证书在 Go 测试或 http.Client 中报 x509: certificate signed by unknown authority
Go 的 http.Client 默认只信任系统根证书，不自动加载 mkcert 安装的根证书（即使 mkcert -install 成功），尤其在单元测试或 CLI 工具调用中容易忽略这点。
性能 / 兼容性影响：手动添加根证书到 http.Client.Transport.TLSClientConfig.RootCAs 几乎无开销，且兼容所有 Go 版本。
实操建议：
- 获取 mkcert 根证书路径：
mkcert -CAROOT，然后读取rootCA.pem - 用
crypto/x509解析并追加进 client 的 root CA pool - 别用
InsecureSkipVerify: true—— 这绕过全部校验，本地开发也不该养成习惯
关键代码片段：
rootCAPem, _ := os.ReadFile(filepath.Join(os.Getenv("CAROOT"), "rootCA.pem"))
rootCA, _ := x509.ParseCertificate(rootCAPem)
rootCAs := x509.NewCertPool()
rootCAs.AddCert(rootCA)
client := &http.Client{
Transport: &http.Transport{
TLSClientConfig: &tls.Config{RootCAs: rootCAs},
},
}
本地 HTTPS 开发最易被忽略的点，其实是证书生命周期管理：mkcert 生成的证书默认有效期 1 年，但开发机重装、CAROOT 目录迁移、或多人共用同一份证书时，很容易出现「证书存在但根证书未安装」或「根证书已更新但旧证书仍被引用」。建议把 mkcert -install 和证书生成步骤写进项目 README，并用 Makefile 或 shell 脚本封装，避免每次都要查文档。 
