本文介绍如何使用 Go 的 crypto/tls 包在 TLS 连接建立后安全获取、遍历并解析对端（客户端或服务端）的 X.509 证书链，提取包括主题、颁发者、有效期和通用名（CN）等关键字段。
本文介绍如何使用 go 的 `crypto/tls` 包在 tls 连接建立后安全获取、遍历并解析对端（客户端或服务端）的 x.509 证书链，提取包括主题、颁发者、有效期和通用名（cn）等关键字段。
在基于 TLS 的双向认证（mTLS）场景中，服务端不仅需验证客户端证书的有效性，还常需从中提取身份标识（如 Subject.CommonName 或 Subject.DN 中的 CN、OU、O 等字段）用于后续授权或日志审计。Go 标准库 crypto/tls 并未提供“一键获取客户端证书详情”的高层 API，但可通过 tls.Conn.ConnectionState().PeerCertificates 安全访问已验证的证书链，进而解析其结构化信息。
以下是一个完整示例，演示如何连接远程 HTTPS 服务（如 www.google.com:443），建立 TLS 连接，并提取对端证书链中每张证书的颁发者（Issuer）、有效期（NotAfter）及通用名（注意：此处示例中误用了 cert.Issuer.CommonName，正确应为 cert.Subject.CommonName；下文将修正并说明）：
package main
import (
"crypto/tls"
"fmt"
"log"
"time"
)
func main() {
conf := &tls.Config{
// ⚠️ 生产环境务必禁用 InsecureSkipVerify！
// 此处仅用于演示连接流程；真实场景应配置 VerifyPeerCertificate 或使用 RootCAs 验证
InsecureSkipVerify: true,
}
conn, err := tls.Dial("tcp", "www.google.com:443", conf)
if err != nil {
log.Fatalf("failed to dial TLS: %v", err)
}
defer conn.Close()
state := conn.ConnectionState()
certs := state.PeerCertificates
if len(certs) == 0 {
log.Fatal("no peer certificates received")
}
fmt.Printf("Certificate chain length: %d\n", len(certs))
for i, cert := range certs {
fmt.Printf("\n--- Certificate #%d (leaf=%t) ---\n", i+1, i == 0)
fmt.Printf("Subject: %s\n", cert.Subject)
fmt.Printf("Subject Common Name (CN): %s\n", cert.Subject.CommonName)
fmt.Printf("Issuer: %s\n", cert.Issuer)
fmt.Printf("Issuer Common Name: %s\n", cert.Issuer.CommonName)
fmt.Printf("Serial Number: %x\n", cert.SerialNumber)
fmt.Printf("Not Before: %s\n", cert.NotBefore.Format(time.RFC3339))
fmt.Printf("Not After: %s\n", cert.NotAfter.Format(time.RFC3339))
fmt.Printf("Signature Algorithm: %s\n", cert.SignatureAlgorithm)
fmt.Printf("PublicKey Algorithm: %s\n", cert.PublicKeyAlgorithm)
}
}✅ 关键要点说明：
- conn.ConnectionState().PeerCertificates 返回的是一个 []*x509.Certificate 切片，按链顺序排列（索引 0 为终端实体证书，即服务端证书；后续为中间 CA）。
- cert.Subject.CommonName 是提取客户端/服务端身份最常用字段（但现代最佳实践更推荐使用 SAN 扩展中的 DNS 名称或 URI，因 CN 已被部分浏览器弃用）。
- InsecureSkipVerify: true 仅限测试；生产中必须配置可信根证书（RootCAs）或自定义 VerifyPeerCertificate 回调，否则无法保证证书真实性。
- 若用于服务端接收客户端证书（mTLS），需在 tls.Config 中启用 ClientAuth: tls.RequireAndVerifyClientCert，并同样通过 http.Request.TLS.PeerCertificates（HTTP Server）或 tls.Conn.ConnectionState().PeerCertificates（原始 tls.Listener）获取。
? 注意事项：
- PeerCertificates 仅在 TLS 握手成功且证书被验证（或跳过验证）后才非空；若握手失败或未提供证书，该字段为空切片。
- X.509 证书中 CommonName 字段可能为空或不具唯一性，建议结合 DNSNames、URISANs 或自定义扩展字段做增强校验。
- 时间格式推荐使用 time.RFC3339 而非硬编码 "2006-January-02"，以提升可读性与时区兼容性。
掌握此方法，即可在 Go 中稳健实现证书身份提取，为构建零信任架构下的 mTLS 认证系统打下坚实基础。
