Go pem.Decode 怎么连续读取多个 PEM 区块

读取拼接在一起的多个 PEM 区块时，关键不是重复调用 pem.Decode，而是把它返回的 rest 作为下一轮输入。每次调用消费一个区块，block 保存当前结果，rest 保存尚未处理的字节；当 block == nil 时，说明剩余内容里没有可识别的 PEM 区块。

实用写法是“Decode 当前数据、处理 block、把 data 更新为 rest”，并在 nil 时立即停止。这样证书链、密钥和尾部备注都能被区分，不会重复解析同一段内容。

• 输入：一段可能包含多个 BEGIN/END 标记的字节流。
• 循环：每轮只把 rest 交给下一次 pem.Decode。
• 判断：Type 决定后续解析器，nil 决定读取结束或输入异常。

先看懂 pem.Decode 返回的 block 和 rest

pem.Decode(data) 会寻找下一个 PEM 格式区块，返回的 *pem.Block 包含 Type、可选的 Headers 和已经 Base64 解码的 Bytes。第二个返回值不是“下一段区块”，而是从当前区块结束位置开始的剩余输入。

因此，输入中有两个证书时，第一次得到第一个 CERTIFICATE 和剩余字节，第二次必须把剩余字节传回去。若把原始 data 再传一次，就会再次得到第一个区块，造成重复处理。

用 rest 连续读取多个 PEM 区块

把循环变量命名为 data 更直观：开始时它指向完整输入，成功解码后改成 rest。下面的代码只负责拆区块和记录类型，不把证书解析、私钥解析等业务混在读取层里。

package main

import (
    "bytes"
    "encoding/pem"
    "fmt"
)

func readPEMBlocks(input []byte) []*pem.Block {
    var blocks []*pem.Block
    data := input

    for len(bytes.TrimSpace(data)) > 0 {
        // 每轮只消费当前区块，rest 是下一轮的输入，避免重复读取。
        block, rest := pem.Decode(data)
        if block == nil {
            // 剩余内容不是完整 PEM 时停止，调用方可据此记录尾部位置。
            break
        }
        blocks = append(blocks, block)
        data = rest
    }
    return blocks
}

func main() {
    // 示例输入可包含证书链、密钥或其他 PEM 区块。
    input := []byte("...多个 PEM 区块...")
    for index, block := range readPEMBlocks(input) {
        // Type 用于决定后续解析器，Bytes 已经是解码后的内容。
        fmt.Printf("第 %d 个区块：%s，字节数：%d\\n", index+1, block.Type, len(block.Bytes))
    }
}

循环条件用 bytes.TrimSpace 只是为了跳过已经没有有效字符的尾部空白；真正决定是否读到区块的是 block == nil。如果业务要求“必须全部是 PEM”，还应在退出后检查剩余字节，而不是把 nil 静默当成成功。

nil、前缀和尾部文本怎么处理

PEM 区块必须从行首的 BEGIN 标记开始，并在行尾结束。合法输入前后可以有空白或业务备注，但备注不会变成 pem.Block。当剩余数据只有备注、截断标记或损坏的 Base64 时，pem.Decode 可能返回 nil，此时应记录“已读区块数”和剩余内容长度，方便定位输入问题。

不要在 block == nil 后继续把同一个 data 放回循环，否则既没有进展，也无法区分“没有更多区块”和“输入从中间损坏”。对配置文件或上传内容，通常建议把 nil 视为格式错误；对证书链后允许备注的场景，则可以明确允许尾部非 PEM，并把它作为未消费数据保留下来。

按 Type 分流，读取和解析分开

读取层只确认区块边界，不能因为拿到了 block 就认为证书或私钥内容一定有效。证书区块可以交给 x509.ParseCertificate(block.Bytes)；私钥则按实际编码选择 PKCS#1、PKCS#8 或 EC 解析函数。未知类型应保留 block.Bytes 或直接报错，不要把所有区块都强行当成证书。

func parseCertificateBlocks(input []byte) ([]*x509.Certificate, error) {
    var certs []*x509.Certificate
    data := input
    for len(bytes.TrimSpace(data)) > 0 {
        // Decode 只拆边界，证书语义由 x509 解析器负责。
        block, rest := pem.Decode(data)
        if block == nil {
            return nil, fmt.Errorf("剩余内容不是完整 PEM，长度=%d", len(data))
        }
        data = rest
        if block.Type != "CERTIFICATE" {
            // 证书链函数不混入私钥或其他区块，避免类型误判。
            continue
        }
        cert, err := x509.ParseCertificate(block.Bytes)
        if err != nil {
            return nil, fmt.Errorf("解析证书失败：%w", err)
        }
        certs = append(certs, cert)
    }
    return certs, nil
}

这个分层让问题更容易定位：区块数量不对，先看 rest 是否被更新；类型不对，看 Type；证书内容损坏，再看 ParseCertificate 的错误。多区块读取本身不负责验证证书链，也不负责判断私钥是否能使用。

常见问题

为什么第二次 Decode 读到的还是第一个区块？

通常是循环里一直传入原始 data，没有执行 data = rest。每次成功解码后都要把剩余字节覆盖回循环变量。

pem.Decode 返回 nil 后还能继续读吗？

不建议继续传入同一段数据。nil 表示没有找到可识别的 PEM 区块；应根据业务选择允许尾部备注，或直接返回格式错误，并记录剩余内容长度。

官方接口说明可参考：https://pkg.go.dev/encoding/pem。它明确描述了 Decode 的区块与剩余输入返回值，以及 PEM 标记必须位于行边界的格式条件。