Go HTTPS 接口怎么用测试证书完成本地单元测试

测试 Go 的 HTTPS 接口时，不必自己生成证书、启动端口，再把证书塞进系统信任库。直接用 httptest.NewTLSServer 创建临时 HTTPS 服务，并用返回的 server.Client() 发请求即可。这个客户端已经配置为信任该测试服务的 TLS 证书；如果改用 http.DefaultClient，通常会遇到证书校验失败。

用 httptest.NewTLSServer 创建 HTTPS 测试服务

先把被测接口需要的行为写进一个 http.Handler。下面的例子模拟一个返回 JSON 的健康检查接口，测试只关心 HTTPS 请求能否到达 handler，以及响应是否符合约定。

package api_test

import (
    "io"
    "net/http"
    "net/http/httptest"
    "strings"
    "testing"
)

func TestHealthOverHTTPS(t *testing.T) {
    handler := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 让测试同时确认请求方法和路径已经到达服务端。
        if r.Method != http.MethodGet || r.URL.Path != "/health" {
            http.Error(w, "bad request", http.StatusBadRequest)
            return
        }
        w.Header().Set("Content-Type", "application/json")
        io.WriteString(w, `{"status":"ok"}`)
    })

    server := httptest.NewTLSServer(handler)
    defer server.Close() // 关闭监听器，并等待未完成请求结束。

    client := server.Client() // 该客户端信任本测试服务的 TLS 证书。
    resp, err := client.Get(server.URL + "/health")
    if err != nil {
        t.Fatalf("HTTPS 请求失败: %v", err)
    }
    defer resp.Body.Close() // 读取响应后释放连接相关资源。

    body, err := io.ReadAll(resp.Body)
    if err != nil {
        t.Fatalf("读取响应体失败: %v", err)
    }
    if resp.StatusCode != http.StatusOK {
        t.Fatalf("状态码 = %d， want %d", resp.StatusCode, http.StatusOK)
    }
    if !strings.Contains(string(body), `"status":"ok"`) {
        t.Fatalf("响应体不符合预期: %s", body)
    }
}

NewTLSServer 会立即启动一个监听本地回环地址的 TLS 服务，server.URL 是它的 HTTPS 基地址。这里的证书是测试用途的临时证书，不需要写入操作系统或浏览器的信任库。图中的信任关系只存在于 server.Client() 返回的客户端中。

改用 server.Client 发起请求

最容易踩的坑是只替换地址，不替换客户端。server.URL 虽然是 https:// 开头，但 http.Get(server.URL) 仍然使用默认客户端，它并不知道 httptest 生成的证书。正确写法是始终从测试服务取得客户端：

client := server.Client()
resp, err := client.Get(server.URL + "/health")
if err != nil {
    // 这里报告传输层或 TLS 握手错误，不要把它误判成业务状态码。
    t.Fatalf("请求测试 HTTPS 服务失败: %v", err)
}

这个客户端可以继续设置超时、请求头或 Transport，但应避免把生产客户端的全局 Transport 直接改掉。若被测代码把 *http.Client 作为依赖传入，测试时注入 server.Client() 会比修改全局 http.DefaultTransport 更稳定。

按状态码、响应体和请求边界断言

HTTPS 测试不应该只断言“请求没有报错”。没有报错只说明 TLS 握手和 HTTP 传输完成，不能证明 handler 返回了正确的路径、状态码或内容。建议按“请求边界、状态码、响应体、资源清理”四层检查。

如果被测客户端封装了请求逻辑，可以把它设计成接收客户端依赖：

func fetchHealth(client *http.Client, baseURL string) (string, error) {
    // 使用传入客户端，调用方可以在测试中注入 server.Client()。
    resp, err := client.Get(baseURL + "/health")
    if err != nil {
        return "", err
    }
    defer resp.Body.Close() // 无论成功或失败都关闭响应体。

    if resp.StatusCode != http.StatusOK {
        return "", fmt.Errorf("unexpected status: %s", resp.Status)
    }
    data, err := io.ReadAll(resp.Body)
    if err != nil {
        return "", err
    }
    return string(data), nil
}

上面的函数若放进完整文件，还需要导入 fmt。示例重点不是把 TLS 逻辑散落到业务代码里，而是让业务函数只依赖一个客户端；测试用客户端负责证书信任，生产客户端则使用真实的证书链和超时策略。

处理自定义 TLS 配置与常见失败

只验证接口请求时，NewTLSServer 已经够用。需要调整 TLS 配置时，改用 httptest.NewUnstartedServer，先设置配置，再调用 StartTLS：

server := httptest.NewUnstartedServer(handler)
server.EnableHTTP2 = true // 必须在启动 TLS 前设置。
server.StartTLS()
defer server.Close()

resp, err := server.Client().Get(server.URL)
if err != nil {
    t.Fatalf("请求失败: %v", err)
}
defer resp.Body.Close()

配置必须在第一次调用 Client、Start 或 StartTLS 前完成。若报“unknown authority”，先检查是否误用了 http.DefaultClient；若偶发端口问题，确认服务被关闭；若断言失败，再分别打印状态码、响应体和 handler 收到的路径。不要用 tls.Config{InsecureSkipVerify: true} 掩盖测试配置错误，它会让测试失去证书校验意义。

相关问题

为什么 httptest.NewServer 不能直接测试 HTTPS？

NewServer 创建的是 HTTP 服务；需要 TLS 时应使用 NewTLSServer，或在可配置场景下使用 NewUnstartedServer 后调用 StartTLS。

测试客户端可以直接使用 http.DefaultClient 吗？

通常不可以。默认客户端不会自动信任 httptest 的临时证书，应使用 server.Client()，再按测试需要添加请求头或超时。

什么时候需要调用 server.Certificate？

只有在测试需要读取或进一步检查服务证书时才需要它。普通 HTTPS 接口单元测试使用 server.Client() 即可，不必手动组装根证书池。

把测试证书的信任范围限制在 server.Client()，再让被测函数接收客户端依赖，Go 的 HTTPS 单元测试就能保持快速、隔离且接近真实握手过程。