Go tls.Config 复用导致证书更新不生效的处理方式

服务已经替换了磁盘上的证书文件，Go 服务却仍然返回旧证书，最常见的原因不是浏览器缓存，而是启动时创建的 tls.Config 里保存的 Certificates 仍指向旧的解析结果。tls.Config 复用本身不会重新读取文件；要让新建 TLS 握手拿到新证书，应把证书选择放到 GetCertificate 回调，并用原子方式切换一份完整的 *tls.Certificate。

官方地址：https://pkg.go.dev/crypto/tls/

先判断：复用 Config 不等于复用文件读取

下面这种写法只在启动时解析一次证书。以后即使覆盖了 server.crt，内存中的 tls.Certificate 也不会自动变化。

cert, err := tls.LoadX509KeyPair("server.crt", "server.key")
if err != nil {
    return err
}

cfg := &tls.Config{
    // 这里保存的是已经解析的证书链，不是证书文件路径。
    Certificates: []tls.Certificate{cert},
}

把 cfg.Certificates[0] 在服务运行期间直接改写，既可能与握手并发读产生数据竞争，也把“读取、解析、发布”拆成了不一致的几个瞬间。Config.Clone 也不是热更新开关：它是浅克隆，证书切片和回调等字段仍可能共享底层数据。

把证书选择交给 GetCertificate

动态更新的关键是让回调返回一份完整证书。atomic.Value 存储的是指向证书的指针，发布后不再修改这份对象；这样读线程只会拿到旧版本或新版本。

type certStore struct {
    current atomic.Value // 保存 *tls.Certificate，不能存入不同具体类型
}

func newCertStore(cert tls.Certificate) *certStore {
    s := &certStore{}
    s.current.Store(&cert) // 首次发布完整证书，回调才能立即工作
    return s
}

func (s *certStore) GetCertificate(_ *tls.ClientHelloInfo) (*tls.Certificate, error) {
    value := s.current.Load()
    if value == nil {
        return nil, errors.New("tls certificate is not ready") // 未加载时让握手明确失败
    }
    return value.(*tls.Certificate), nil
}

func (s *certStore) Replace(certPEM, keyPEM []byte) error {
    next, err := tls.X509KeyPair(certPEM, keyPEM) // 先完整校验证书和私钥是否匹配
    if err != nil {
        return err // 解析失败时保留旧证书，不污染当前服务
    }
    s.current.Store(&next) // 解析成功后一次性切换
    return nil
}

配置服务端时不要再填入旧的 Certificates，否则在无 SNI 的请求上可能回退到静态证书。保持它为空，回调就能覆盖有 SNI 和无 SNI 的握手路径：

store := newCertStore(initialCert)
cfg := &tls.Config{
    // Certificates 留空，让 GetCertificate 负责每次新握手的选择。
    GetCertificate: store.GetCertificate,
}

轮换时先解析，连接边界要分开看

证书文件更新后，先读取两个新文件并调用 tls.X509KeyPair，成功后再执行 Replace。如果证书链损坏或私钥不匹配，旧指针继续服务；这比先清空旧证书再尝试加载更容易回滚。

因此复查要建立一条全新的连接，读取对端证书的序列号或指纹；不要用同一个长期复用的 HTTP 连接得出“更新没生效”的结论。若客户端启用了 TLS 会话恢复，也要把“新连接是否真的重新走完整握手”纳入排查。

Clone 和证书回调的边界

Clone 适合在并发使用中的 Config 上复制一份配置再补充字段，但它不会深拷贝证书切片，也不会替你建立新的轮换存储。多个克隆如果共享同一个 GetCertificate 方法值，反而可以共同读取同一个原子证书仓；如果每个克隆各自保存静态 Certificates，更新就会分叉。

还要记住回调返回后不应继续修改证书对象。轮换的安全边界是“构造新对象、一次发布、旧对象只读”，不是在原切片里逐字段覆盖。

常见问题

为什么替换 PEM 文件后仍然看到旧证书？

PEM 文件只是输入，LoadX509KeyPair 已经把结果放入内存。除非重新解析并发布，否则 tls.Config 不会主动轮询文件。

能不能只使用 Config.Clone 解决热更新？

不能。Clone 解决的是配置复制和并发读取安全，不是证书版本管理；热更新仍需要回调或在连接层切换新的 Config。

旧连接必须立刻使用新证书怎么办？

证书只在握手阶段发送。需要立即生效时，应按业务容忍度关闭旧连接或让负载均衡摘除旧实例，再由新连接完成握手。