Go HTTP 客户端Transport ForceAttemptHTTP2 后协议仍不切换怎么办

ForceAttemptHTTP2=true 的含义是允许 Transport 在特定自定义拨号或 TLS 配置下继续尝试 HTTP/2，不是要求服务器必须切换协议。遇到仍为 HTTP/1.1 的响应，应先确认请求确实使用了这一个 Transport，再看 HTTPS 协商与显式协议限制，不能只反复设置同一个布尔值。

这里讨论标准库 net/http 客户端。HTTP/2 是连接协商结果，不是业务响应头中的一个开关；也不能据此保证所有请求更快。官方字段说明：https://pkg.go.dev/net/http#Transport。

先把尝试开关与协商结果分开

一次请求涉及三类不同对象：Client 选择实际 Transport；Transport 决定支持哪些协议；TLS 对端参与 ALPN 协商。只有查看响应的 Proto 才是在观察这次 HTTP 请求使用的协议。resp.TLS.NegotiatedProtocol 则描述 TLS 协商出的应用协议，两者应结合判断。

HTTP/2 的多路复用对复用连接的并发请求有价值，但“启用 HTTP/2”和“满足延迟目标”不是同一项验收。本问题先解决能否协商，性能收益需要在真实业务条件下另测。

用独立客户端读取协议与ALPN

下面是可保存为 main.go 的完整诊断程序。它保留证书验证，克隆默认 Transport 并明确赋给 Client；不跟随重定向，使输出只针对参数指向的第一跳。本文未运行程序，也未访问任何业务端点，以下均为供读者使用的诊断方法。

package main

import (
    "fmt"
    "io"
    "net/http"
    "net/url"
    "os"
    "runtime"
    "time"
)

func inspect(rawURL string) error {
    u, err := url.Parse(rawURL)
    if err != nil {
        return err
    }
    // 本示例只研究 HTTPS，不把明文 HTTP/2 混在一起。
    if u.Scheme != "https" || u.Host == "" || u.User != nil {
        return fmt.Errorf("请提供不含账号密码的 HTTPS 地址")
    }
    base, ok := http.DefaultTransport.(*http.Transport)
    if !ok {
        return fmt.Errorf("DefaultTransport 已被替换，需定位实际 RoundTripper")
    }
    // 在首次使用前完成配置，不并发修改共享 Transport。
    tr := base.Clone()
    tr.ForceAttemptHTTP2 = true
    defer tr.CloseIdleConnections()

    client := &http.Client{
        Transport: tr,
        Timeout: 10 * time.Second,
        // 不跟随重定向，避免把另一台主机的协议误认成目标结果。
        CheckRedirect: func(_ *http.Request, _ []*http.Request) error {
            return http.ErrUseLastResponse
        },
    }
    resp, err := client.Get(u.String())
    if err != nil {
        return err
    }
    defer resp.Body.Close()

    alpn := ""
    if resp.TLS != nil {
        alpn = resp.TLS.NegotiatedProtocol
    }
    fmt.Printf("go=%s proto=%s alpn=%q status=%d\n",
        runtime.Version(), resp.Proto, alpn, resp.StatusCode)
    // 只读取有限正文，避免诊断接口遇到大响应时无限读取。
    // 不承诺读完响应或复用连接；此处使用一次性诊断客户端。
    _, err = io.Copy(io.Discard, io.LimitReader(resp.Body, 64

# 将地址替换成你有权测试的 HTTPS 端点；此命令未在本文执行。
go run main.go 'https://your-service.example/health'

your-service.example 是占位域名，不是测试站点。运行后先判断是否发生连接或证书错误；成功获得响应时再看 proto 与 alpn。proto 为 HTTP/2.0 表示这一跳使用了 HTTP/2，状态码是 200、404 还是其他值属于另一个问题。程序只限量读取正文，不承诺观察整条响应流的所有错误，也不拿它衡量连接复用效果。

按证据区分配置限制与对端能力

当前官方实现优先采用非 nil 的 Protocols；而 ForceAttemptHTTP2 主要参与默认协议推导。老工具链可能没有 Protocols 字段，阅读部署环境对应的 API 文档，不要照抄一个不存在的字段。自定义 TLSNextProto 也可能已安装自己的 h2 处理器，不能把“非 nil”简单理解成“一律删除”。

代理和网关必须按连接边界判断：普通 CONNECT 隧道不等于必然终止源站 TLS，但做 TLS 终止的网关会成为客户端的协商对端。客户端侧 h2 不能证明网关到上游也使用 h2；上游使用 h2 也不能反证客户端侧一定支持。

将修复放在首次请求之前

先在新建且尚未使用的 Transport 上完成必要修改，再用同一目标、相同代理环境和相同 TLS 策略发起比较。不要请求已在进行时修改字段；也不要在已有连接池上切换开关，期待存量 HTTP/1.1 连接原地变成 HTTP/2。关闭空闲连接不是重置所有协议初始化状态的替代品，构造新的诊断实例更清楚。

确认原因后，把必要改动合回长期复用的生产客户端，不要在每条业务请求里克隆 Transport。若 HTTP/1.1 是允许的回退，保持它并观察实际协议分布；若接口契约必须 h2，则明确拒绝不符合条件的结果或制定协议策略，而不是把 ForceAttemptHTTP2 当作失败即报错的强制模式。

比较记录至少包含 Go 版本、实际配置对象、目标入口、是否走代理以及响应协议。本文没有现场数据，因此不声称某个代理或版本就是故障根因，也不提供无条件升级建议。

常见追问

http:// 地址也会因为这个字段变成 HTTP/2 吗？

不能仅靠它做到。明文 HTTP/2 涉及独立协议配置与对端支持；不要把 HTTPS ALPN 的排查方法直接套在明文地址上。

把 Request.Proto 写成 HTTP/2.0 能解决吗？

不能把它当成 Transport 的协议选择开关。应读响应协议，并修复实际连接的支持和协商条件。

关闭证书验证能否让 h2 生效？

这不是协议协商的正确修复。证书错误应修复证书链、主机名或受信任根配置，不能用跳过校验换取连接成功。

协议选择实现：https://go.dev/src/net/http/transport.go；TLS 协商字段：https://pkg.go.dev/crypto/tls#ConnectionState。