Go 请求内网 HTTPS 服务怎么加载自签名 CA

Go 请求内网 HTTPS 服务报 x509: certificate signed by unknown authority 时，正确做法不是把 InsecureSkipVerify 设为 true，而是把签发服务端证书的自签名 CA 加入一个 x509.CertPool，再通过 tls.Config.RootCAs 交给专用的 http.Client。这样客户端仍会检查证书链和主机名，只扩大了明确的信任范围。

最小方案是：读取 CA 的 PEM 文件，调用 x509.SystemCertPool 或 x509.NewCertPool，再执行 AppendCertsFromPEM，最后把这个池放进 tls.Config.RootCAs。不要为了“能连上”关闭 TLS 验证。

先区分自签名 CA 与跳过 TLS 校验

自签名 CA 的问题是“验证链找不到信任锚点”，不是 HTTPS 本身不安全。RootCAs 定义客户端验证服务端证书时使用的根 CA 集合；如果它为空，Go 会使用主机的系统根证书。内网 CA 不在系统池里，就需要显式追加。

InsecureSkipVerify 的含义完全不同：它会接受服务端给出的任意证书和主机名，官方文档也明确提示这会让连接容易遭受中间人攻击。测试临时诊断可以单独使用，生产访问内网服务不应把它当成加载 CA 的快捷方式。

从 PEM 文件构造可复用的 CertPool

启动时读取 CA 文件并完成解析，能把“部署漏文件、路径错误、PEM 内容不完整”等问题尽早暴露。下面的函数保留系统 CA，并追加一份内网 CA；如果部署环境只允许内网根证书，也可以改用 x509.NewCertPool 创建空池。

package main

import (
    "crypto/x509"
    "fmt"
    "os"
)

func loadRootPool(path string) (*x509.CertPool, error) {
    // 读取部署时挂载的 CA 文件，避免把私有证书硬编码进程序。
    pemBytes, err := os.ReadFile(path)
    if err != nil {
        return nil, fmt.Errorf("read custom CA %q: %w", path, err)
    }

    // 先复制系统根证书，保证公共 HTTPS 仍然可以正常访问。
    roots, err := x509.SystemCertPool()
    if err != nil {
        // 某些精简镜像没有系统池，此时从空池继续追加内网 CA。
        roots = x509.NewCertPool()
    }

    // 返回 false 说明输入不是可识别的 PEM 证书，而不是“没有报错”。
    if ok := roots.AppendCertsFromPEM(pemBytes); !ok {
        return nil, fmt.Errorf("append custom CA %q: no PEM certificate found", path)
    }
    return roots, nil
}

SystemCertPool 返回的是池的副本，追加证书不会写回操作系统，也不会改变其他调用方拿到的证书池。如果镜像没有系统 CA，回退到空池后，客户端只信任这份内网 CA；这通常比静默跳过验证更容易控制。

把 RootCAs 交给 HTTP Transport

拿到证书池后，为这类内网请求创建独立的 http.Transport。请求 URL 的主机名还必须出现在服务端证书的 SAN 中；如果证书签的是 api.intra.example，就不要把 URL 改成没有对应 SAN 的 IP 地址来“绕过”主机名检查。

package main

import (
    "crypto/tls"
    "fmt"
    "net/http"
    "time"
)

func newInternalClient(caFile string) (*http.Client, error) {
    roots, err := loadRootPool(caFile)
    if err != nil {
        return nil, err
    }

    transport := &http.Transport{
        // RootCAs 扩展服务端证书的信任根，不关闭主机名校验。
        TLSClientConfig: &tls.Config{RootCAs: roots, MinVersion: tls.VersionTLS12},
        // 给 TLS 握手和空闲连接设置明确边界，避免请求无限等待。
        TLSHandshakeTimeout: 5 * time.Second,
        IdleConnTimeout:     30 * time.Second,
    }
    return &http.Client{Transport: transport, Timeout: 10 * time.Second}, nil
}

func requestHealth(client *http.Client) error {
    // URL 主机名应与服务端证书的 SAN 相匹配。
    resp, err := client.Get("https://api.intra.example/health")
    if err != nil {
        return fmt.Errorf("request internal HTTPS service: %w", err)
    }
    defer resp.Body.Close()
    if resp.StatusCode >= http.StatusBadRequest {
        return fmt.Errorf("internal service returned %s", resp.Status)
    }
    return nil
}

按错误类型排查部署边界

如果服务端发送的链缺少中间 CA，客户端只加载根 CA 也可能仍然失败；应先让服务端发送完整链，再判断是否需要额外的信任配置。CA 轮换时，先把新旧 CA 都加入池并完成灰度，确认旧证书下线后再移除旧 CA。最终要把 CA 文件、URL 主机名、证书有效期和客户端错误日志放进部署检查清单。

官方参考：x509.CertPool、tls.Config、http.Transport。

相关问题

能不能只使用内网 CA，不读取系统根证书？

可以，用 x509.NewCertPool 创建空池后追加内网 CA。这样隔离性更强，但这个客户端将无法访问依赖公共 CA 的其他 HTTPS 服务。

为什么 AppendCertsFromPEM 返回 false？

它表示输入中没有可追加的 PEM 证书，常见原因是挂载了错误文件、传入 DER 二进制或 PEM 内容被截断。先确认文件类型和完整的 BEGIN CERTIFICATE 块。