testing/httptest NewServer 与 NewTLSServer 如何选择

我在给 HTTP handler 补测试时，最容易先写错的不是路由，而是测试服务器的选择：接口本身只验证状态码和 JSON，却直接上 TLS；或者接口要检查 HTTPS 行为，却用明文服务器把关键路径绕开了。判断其实很简单：不涉及证书、HTTPS、TLS 配置或安全传输语义时，用 httptest.NewServer；只有测试确实需要 TLS 时，才用 httptest.NewTLSServer。

官方文档：https://pkg.go.dev/net/http/httptest

这两个构造函数都会启动本地回环测试服务，返回的 Server 都要在测试结束时调用 Close。TLS 场景还要优先使用 server.Client()，因为它已经配置为信任测试服务器生成的证书。

先按协议需求做选择

NewServer 启动普通 HTTP 服务，URL 通常以 http:// 开头；NewTLSServer 启动 TLS 服务，URL 以 https:// 开头。两者都接收同一个 http.Handler，真正变化的是请求传输层和客户端信任配置。

普通接口测试用 NewServer 就够了

如果被测代码只需要访问一个临时 HTTP 地址，NewServer 是更直接的起点。服务创建后立刻用 defer server.Close() 登记清理，再通过 server.Client() 发请求，可以让客户端的连接清理也和服务端生命周期保持一致。

func TestHealthWithHTTPServer(t *testing.T) {
    handler := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 这个处理器只表达业务响应，不引入 TLS 变量。
        w.Header().Set("Content-Type", "application/json")
        w.WriteHeader(http.StatusOK)
        _, _ = w.Write([]byte(`{"ok":true}`))
    })

    server := httptest.NewServer(handler)
    defer server.Close() // 测试结束后关闭回环监听和连接。

    client := server.Client()
    resp, err := client.Get(server.URL + "/health")
    if err != nil {
        t.Fatal(err)
    }
    defer resp.Body.Close() // 响应体也要关闭，避免连接资源滞留。

    if resp.StatusCode != http.StatusOK {
        t.Fatalf("unexpected status: %s", resp.Status)
    }
}

这里的重点不是把 NewServer 包装成生产服务器，而是让测试拥有一个真实的 HTTP 请求边界。若测试只检查 handler 的输入输出，也可以使用 httptest.NewRecorder；一旦需要验证客户端如何拼接 URL、发送请求或处理响应，再使用测试服务器更贴近实际调用。

只有需要 TLS 语义时才换成 NewTLSServer

NewTLSServer 的价值在于让请求真的经过 TLS，而不是给明文服务手工拼一个 https 字符串。它会创建测试证书并启动 TLS 服务，因此适合检查 HTTPS 客户端、重定向策略、传输层配置或证书信任行为。

func TestHealthWithTLSServer(t *testing.T) {
    handler := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 业务处理器可以与明文 HTTP 测试共用。
        w.WriteHeader(http.StatusNoContent)
    })

    server := httptest.NewTLSServer(handler)
    defer server.Close() // TLS 监听器和客户端空闲连接一起收尾。

    client := server.Client() // 该客户端已信任 httptest 生成的测试证书。
    resp, err := client.Get(server.URL + "/health")
    if err != nil {
        t.Fatal(err)
    }
    defer resp.Body.Close() // 即使没有响应正文，也要关闭 Body。

    if resp.StatusCode != http.StatusNoContent {
        t.Fatalf("unexpected status: %s", resp.Status)
    }
}

不要把上面的 server.Client() 换成未经配置的 http.DefaultClient，再用“跳过证书校验”来消除错误。那样会把证书信任问题从测试中删掉，也容易把不安全的 Transport 配置带进生产代码。测试需要的是“信任这一台临时测试服务器”，而不是“信任所有证书”。

server.Client 解决的是测试证书信任

两种服务器都提供 Server.Client，但在 TLS 场景它尤其重要。官方文档说明，这个客户端会被配置为访问测试服务器；当服务器使用 TLS 时，它还会信任该服务器的测试证书，并在 Server.Close 时关闭空闲连接。

因此，TLS 测试可以把选择拆成两层：服务器选择决定是否真的启动 TLS；客户端选择决定是否使用与该测试证书匹配的信任配置。前者不能被后者替代，后者也不应该通过全局关闭校验来绕过。

配置时机和清理顺序别忽略

如果需要修改 Server.Config、EnableHTTP2 或其它服务配置，要在第一次调用 Client、Start 或 StartTLS 之前完成。NewServer 和 NewTLSServer 已经启动服务，适合最小测试；需要先改配置时，应从 NewUnstartedServer 开始，再选择 Start 或 StartTLS。

func newConfiguredTLSServer(handler http.Handler) *httptest.Server {
    server := httptest.NewUnstartedServer(handler)
    // 配置必须发生在 StartTLS 之前，启动后不要再改同一组字段。
    server.EnableHTTP2 = true
    server.StartTLS()
    return server
}

func TestConfiguredTLS(t *testing.T) {
    server := newConfiguredTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 这里只关心请求是否到达，不把测试写成真实业务逻辑。
        w.WriteHeader(http.StatusOK)
    }))
    defer server.Close() // 调用方拥有 server，因此由调用方负责释放。

    resp, err := server.Client().Get(server.URL)
    if err != nil {
        t.Fatal(err)
    }
    defer resp.Body.Close() // 读取或忽略正文后都要关闭响应体。
}

这里选择 NewUnstartedServer 只是为了展示配置时机，不代表所有 TLS 测试都需要这套写法。没有特殊配置时，NewTLSServer 更易读。

当前 Go 版本还要留意 NewTestServer

当前官方文档已经把 NewTestServer 列为多数测试的优先入口。它默认使用内存网络实现，测试中可用返回的客户端访问 HTTP 或 HTTPS 地址；而 NewServer 与 NewTLSServer 明确对应回环网络上的明文和 TLS 服务器。

这不改变本文的选型结论：如果题目就是比较两种回环服务，仍然选择 NewServer 或 NewTLSServer；如果项目已使用支持该 API 的 Go 版本，并且不需要绑定真实回环监听，可另外评估 NewTestServer。不要为了追求“更新”而把一个只验证 handler 的小测试改得更复杂。

我最后会按这张清单落地

• 只验证业务响应、请求参数和 JSON：用 NewServer，不把 TLS 引入测试噪声。
• 需要 HTTPS、证书信任、TLS 配置或握手路径：用 NewTLSServer。
• TLS 场景优先用 server.Client()，不要用全局跳过证书校验的 Transport。
• 服务器和响应体分别登记 Close；需要改配置时，先用 NewUnstartedServer 再启动。
• 只测试 handler 的输入输出时，考虑 ResponseRecorder；需要验证客户端请求边界时，再启动测试服务器。

相关问题

NewServer 能不能访问 https 地址？

不应把它当作 TLS 测试服务器。需要 HTTPS 传输时，直接使用 NewTLSServer，并通过它的 Client 访问测试地址。

为什么 NewTLSServer 配合 http.DefaultClient 会报证书错误？

测试服务器使用的是临时测试证书，默认客户端并不自动信任它。使用 server.Client() 可以获得已经配置好信任关系的客户端。

测试服务一定要用 server.URL 吗？

常规回环服务器可以直接使用 server.URL 作为请求基址；如果使用支持内存网络的测试入口，则应按对应文档使用返回客户端和请求地址，不要把网络实现细节混用。