当前位置：首页 > 文章列表 > Golang > Go教程 > GoTLS配置与证书生成教程

GoTLS配置与证书生成教程

2026-01-21 22:36:36 0浏览收藏

本篇文章主要是结合我之前面试的各种经历和实战开发中遇到的问题解决经验整理的，希望这篇《Go TLS环境配置与证书生成方法》对你有很大帮助！欢迎收藏，分享给更多的需要的朋友学习~

首先生成私钥和证书，再在Go中启用HTTPS服务。1. 用OpenSSL生成2048位私钥server.key；2. 创建含SAN扩展的CSR请求；3. 签发有效期365天的自签名证书server.crt；4. Go使用ListenAndServeTLS加载证书和私钥启动HTTPS服务；5. 客户端可导入server.crt实现服务端证书验证；6. 建议将证书加入系统信任库并避免私钥提交至版本控制。

如何配置Go TLS开发环境_Go TLS证书生成与环境设置方法

在Go语言开发中，配置TLS（传输层安全）环境是实现安全通信的关键步骤。尤其是在开发HTTPS服务、gRPC加密调用或内部微服务间安全通信时，自签名证书的生成与正确配置尤为重要。下面介绍如何为Go项目生成TLS证书，并完成本地开发环境的设置。

生成自签名TLS证书

在本地开发环境中，通常使用自签名证书来测试TLS功能。可以使用OpenSSL工具快速生成所需的证书和私钥。

1. 生成私钥

openssl genrsa -out server.key 2048

这会生成一个2048位的RSA私钥文件 server.key。

2. 生成证书签名请求（CSR）

openssl req -new -key server.key -out server.csr -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"

其中 CN=localhost 表示通用名称为localhost，subjectAltName 添加了DNS和IP的扩展，确保现代浏览器和客户端不会因SAN缺失而拒绝连接。

3. 生成自签名证书

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

此命令将生成有效期为365天的证书文件 server.crt。

最终你会得到两个关键文件：

server.key：服务端私钥
server.crt：服务端证书

在Go中启用HTTPS服务

有了证书后，可以在Go程序中启动一个支持TLS的HTTP服务器。

package main

import (
  "net/http"
  "log"
)

func handler(w http.ResponseWriter, r *http.Request) {
  w.Write([]byte("Hello, TLS!"))
}

func main() {
  http.HandleFunc("/", handler)
  log.Println("Starting HTTPS server on :8443")
  err := http.ListenAndServeTLS(":8443", "server.crt", "server.key", nil)
  if err != nil {
    log.Fatal("Server failed: ", err)
  }
}

将上述代码保存为 main.go，确保 server.crt 和 server.key 位于同一目录，然后运行：

go run main.go

访问 https://localhost:8443 即可看到响应。首次访问时浏览器会提示证书不受信任，开发环境下可手动忽略警告。

客户端验证服务端证书（可选）

若需在Go客户端中安全调用该HTTPS服务，应加载自定义CA证书（即我们生成的 server.crt）进行验证。

package main

import (
  "crypto/tls"
  "crypto/x509"
  "io/ioutil"
  "log"
  "net/http"
)

func main() {
  certPool := x509.NewCertPool()
  cert, err := ioutil.ReadFile("server.crt")
  if err != nil {
    log.Fatal("Cannot read cert: ", err)
  }
  certPool.AppendCertsFromPEM(cert)

  client := &http.Client{
    Transport: &http.Transport{
      TLSClientConfig: &tls.Config{
        RootCAs: certPool,
      },
    },
  }

  resp, err := client.Get("https://localhost:8443")
  if err != nil {
    log.Fatal("Request failed: ", err)
  }
  defer resp.Body.Close()

  body, _ := ioutil.ReadAll(resp.Body)
  log.Println(string(body))
}

这样客户端会使用你生成的证书进行信任校验，避免中间人攻击。