Go httptest.NewTLSServer 的客户端为什么不能直接用默认 Transport

用 httptest.NewTLSServer 测 HTTPS 时，如果把 ts.URL 直接交给 http.DefaultClient，常见结果是握手阶段报证书错误。原因不是测试服务没有启用 TLS，而是默认 Transport 只按主机根证书集验证；NewTLSServer 使用的测试证书并不在这套根证书里。

测试代码应优先使用 ts.Client()。它已经带上了信任测试证书所需的 TLS 配置；如果还要调整连接池或代理，再从这个客户端的 Transport 克隆，而不是从 http.DefaultTransport 重新开始。

为什么默认 Transport 会在握手阶段失败

NewTLSServer 会启动一个本地 HTTPS 服务，并为测试服务准备专用证书。请求还没有进入 Handler，就要先完成 TLS 握手；客户端会校验证书链、主机名和信任根。默认 Transport 沿用系统 TLS 配置，信任的是主机根证书集，所以遇到这张临时测试证书时会返回 x509: certificate signed by unknown authority 一类错误。

这个错误能说明证书信任链不匹配，但不能说明 Handler 没有注册，也不能靠把 URL 改成 HTTP 来“修复” HTTPS 测试。把协议改掉会绕过你真正想覆盖的 TLS 路径。

用 `httptest.NewTLSServer` 启动的测试服务会自动生成一份自签名的临时TLS证书，这份证书没有加入系统默认根证书信任链，所以默认的 `http.DefaultTransport` 直接请求服务时，会因为证书校验不通过抛出报错，没法正常完成接口调用。

package httptestdemo

import (
    "net/http"
    "net/http/httptest"
)

func requestWithDefaultClient() error {
    ts := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 只有 TLS 握手完成后，请求才会进入这里。
        w.WriteHeader(http.StatusNoContent)
    }))
    defer ts.Close()

    // 默认 Transport 使用主机根证书，不认识测试服务的临时证书。
    resp, err := http.DefaultClient.Get(ts.URL)
    if resp != nil {
        resp.Body.Close()
    }
    return err
}

ts.Client() 做了什么，为什么它能通过

Server.Client() 返回的是专门连接该测试服务的 http.Client，其 Transport 已配置为信任服务使用的 TLS 测试证书。它仍然执行证书校验，只是信任根换成了当前测试服务的证书，而不是关闭校验。

最小写法如下。响应体仍要关闭；服务本身也要在测试结束时关闭，避免连接和监听器残留。

func requestWithTestClient() error {
    ts := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 用固定响应让测试只关注 TLS 客户端是否连通。
        w.WriteHeader(http.StatusNoContent)
    }))
    defer ts.Close()

    client := ts.Client()
    resp, err := client.Get(ts.URL)
    if err != nil {
        return err
    }
    // 读完并关闭响应体，便于 Transport 复用连接。
    resp.Body.Close()
    if resp.StatusCode != http.StatusNoContent {
        return fmt.Errorf("unexpected status: %s", resp.Status)
    }
    return nil
}

上面的示例如果直接复制，还需要在 import 中加入 fmt。文章中的重点是客户端来源：服务端地址可以是 ts.URL，但客户端不能随意换回全局默认客户端。

需要自定义参数时克隆测试 Transport

有些测试还要限制空闲连接、替换代理或调整超时。这时先取得 ts.Client() 的 Transport，再调用 Clone()，可以保留测试证书的信任配置。

func requestWithCustomTransport() error {
    ts := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 返回一个短响应，方便客户端做状态检查。
        w.WriteHeader(http.StatusOK)
    }))
    defer ts.Close()

    trustedClient := ts.Client()
    baseTransport, ok := trustedClient.Transport.(*http.Transport)
    if !ok {
        return fmt.Errorf("unexpected transport type %T", trustedClient.Transport)
    }
    customTransport := baseTransport.Clone()
    // 保留 RootCAs，同时按本测试需要限制空闲连接数量。
    customTransport.MaxIdleConnsPerHost = 1

    client := &http.Client{Transport: customTransport}
    resp, err := client.Get(ts.URL)
    if err != nil {
        return err
    }
    resp.Body.Close()
    return nil
}

如果项目封装了自己的 RoundTripper，先确认它是否完整继承了 TLS 配置；只复制超时字段、重新 new 一个空 Transport，仍可能把 RootCAs 丢掉。另一方面，InsecureSkipVerify: true 只适合非常明确的协议级测试，不能用来模拟正常客户端的证书校验。

三种写法怎么选

排查时先看错误发生在 Handler 之前还是之后：如果是证书校验错误，先检查客户端的 Transport 来源；如果已经收到 HTTP 状态码，再去看路由、请求头和 Handler 逻辑。这样能把 TLS 配置问题与业务断言问题分开。

相关问题

能不能把 InsecureSkipVerify 设为 true？

可以用于专门验证“服务器返回了什么而不验证身份”的低层测试，但它会关闭服务端证书校验，不适合作为普通 HTTPS 客户端测试的修复方案。优先使用 ts.Client()，测试的安全语义更接近真实客户端。

为什么还要 defer ts.Close()？

NewTLSServer 会启动监听器。ts.Close() 负责关闭服务并等待已有请求结束；即使请求失败，也应放在创建服务后立即注册。