当前位置：首页 > 文章列表 > Golang > Go问答 > Go 用 IP 连接 HTTPS 为什么会证书域名不匹配

Go 用 IP 连接 HTTPS 为什么会证书域名不匹配

来源：17golang原创 2026-09-06 06:17:32 0浏览收藏

Go 程序把 HTTPS 地址从 https://api.example.com 改成 https://203.0.113.10，最常见的结果不是 TCP 连接失败，而是证书校验报“证书对该主机无效”。原因在于：IP 只是网络连接目标，证书校验还需要一个名称；如果这个名称是 IP，证书的 IP SAN（Subject Alternative Name）里也必须有同一个 IP。

要连指定 IP、但仍按域名验证 HTTPS，做法是让拨号地址和 TLS 的 ServerName 分开：网络层连 IP，TLS 层使用证书上的域名，保持默认证书校验开启。

要点速览

tls.Config.ServerName决定返回证书按哪个主机名校验，也会作为非 IP 场景的 SNI 名称。
直接把 URL 主机名换成 IP 后，Go 会按 IP 校验证书；域名证书通常不包含这个 IP，所以会不匹配。
InsecureSkipVerify=true只是绕过检查，不是修复；生产环境应使用正确域名、正确证书或自定义拨号。

Go 用 IP 连接 HTTPS 时到底比对了什么

HTTPS 请求至少有三层名称容易被混淆。net.Dial关心“连哪台机器”；TLS 握手关心“服务端为哪个名称提供证书”；HTTP 请求头的 Host 则属于应用层路由。它们可以相同，也可以在特殊部署中不同。

字段	负责什么	典型值
拨号地址	建立 TCP 连接的目标	`203.0.113.10:443`
`ServerName`	证书主机名校验；非 IP 时参与 SNI	`api.example.com`
证书 SAN	证书允许的 DNS 名称或 IP 地址集合	`DNSNames` / `IPAddresses`
HTTP Host	服务端应用层虚拟主机路由	`api.example.com`

当 URL 主机名就是 IP 时，默认配置会把这个 IP 当作校验目标。x509.Certificate.VerifyHostname对 IP 检查证书的 IPAddresses，对域名检查 DNSNames，旧证书只写 Common Name 也不能再当作可靠补救。于是“证书链可信”与“名称匹配”是两次不同判断。

Go HTTPS IP 连接中的 IP 地址、ServerName、SNI 与证书 SAN 静态关系框图 — 图1：把连接 IP 与证书校验名称分开看，证书域名不匹配就能定位到正确边界。

用 net.Dial + tls.Client 看清两个主机名

如果网络策略要求固定连某个 IP，但证书签发给域名，可以先用 net.Dialer连接 IP，再把这条连接交给 TLS 客户端，并明确设置 ServerName。下面的示例仍使用系统根证书池，未关闭默认校验。

package main

import (
    "crypto/tls"
    "fmt"
    "net"
    "time"
)

func dialHTTPSByIP() error {
    // 网络层固定连接 IP，避免 DNS 解析到不希望使用的地址。
    dialer := &net.Dialer{Timeout: 5 * time.Second}
    rawConn, err := dialer.Dial("tcp", "203.0.113.10:443")
    if err != nil {
        return fmt.Errorf("连接 IP 失败: %w", err)
    }

    // TLS 层按证书域名校验，并为虚拟主机发送对应的 SNI。
    config := &tls.Config{ServerName: "api.example.com"}
    conn := tls.Client(rawConn, config)
    if err := conn.Handshake(); err != nil {
        _ = rawConn.Close() // 握手失败也要释放底层连接。
        return fmt.Errorf("TLS 握手失败: %w", err)
    }
    defer conn.Close()

    fmt.Println("TLS 服务端:", conn.ConnectionState().ServerName)
    return nil
}

这里的两个值故意不同：203.0.113.10:443是去向，api.example.com是 TLS 名称。若证书 SAN 包含 api.example.com，且系统信任链完整，握手就有机会通过；若把 ServerName也填成 IP，则证书必须把该 IP 写进 IPAddresses。

注意底层连接的所有权：成功后由 tls.Conn负责关闭；握手失败时示例显式关闭原始连接。实际发 HTTP 请求时，还要根据服务端路由需要设置请求的 Host，它不会替代 TLS 的证书校验。