Go crypto/x509 怎样为临时测试证书构造内存根池

用 x509.NewCertPool() 创建空根池，再通过 AddCert 加入已解析的测试证书，或通过 AppendCertsFromPEM 加入测试根证书 PEM，最后把根池赋给客户端 tls.Config.RootCAs。整个过程在内存中完成，不需要把临时证书装入系统信任库，也无需关闭证书验证。

官方文档：https://pkg.go.dev/crypto/x509#CertPool

问题现场：测试服务可达，证书却不受信任

在本地 TLS 测试中，HTTP 处理函数可能没有问题，但普通客户端仍报证书颁发者不受信任。先把这看成信任配置问题：测试服务器提供了证书，不代表你的自定义客户端已经信任它。

这里的目标是让一个测试客户端信任明确选择的测试证书，同时继续检查证书和请求主机名。不要直接把 InsecureSkipVerify 设为 true 来让请求通过，那会改变测试真正覆盖的行为。

初步判断：根池不等于服务端证书配置

客户端的 RootCAs 用来验证服务器证书；服务端的 Certificates 用来提供自己的证书与私钥。这两项在连接两侧承担不同职责。双向 TLS 中服务端验证客户端还涉及 ClientCAs，不能把它误填到当前客户端信任服务器的配置里。

RootCAs 为 nil 时，TLS 使用主机根证书集合；通过 NewCertPool 创建的是空集合。把一个非空指针但内部没有证书的池赋给 RootCAs，不是在“继续使用系统默认值”，而是在选择自己的空信任集合。

修复：创建只属于测试客户端的根池

下面保存为测试包中的 rootpool_test.go。为了集中说明根池装配，示例使用 httptest 的 TLS 测试证书，不另外展开 CA 签发过程。

package tlspool

import (
    "crypto/tls"
    "crypto/x509"
    "io"
    "net/http"
    "net/http/httptest"
    "testing"
    "time"
)

func TestLocalRootPool(t *testing.T) {
    // 使用测试框架的本地 TLS 服务，不接触系统证书库。
    server := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        w.WriteHeader(http.StatusNoContent)
    }))
    defer server.Close()

    cert := server.Certificate()
    if cert == nil {
        t.Fatal("测试服务器没有 TLS 证书")
    }
    roots := x509.NewCertPool()
    // 本测试明确选择框架提供的测试证书为信任锚。
    roots.AddCert(cert)

    transport := &http.Transport{
        TLSClientConfig: &tls.Config{
            RootCAs: roots,
        },
    }
    defer transport.CloseIdleConnections()
    client := &http.Client{
        Transport: transport,
        Timeout: 3 * time.Second,
    }

    response, err := client.Get(server.URL)
    if err != nil {
        t.Fatalf("TLS 请求失败：%v", err)
    }
    defer response.Body.Close()
    if _, err := io.Copy(io.Discard, response.Body); err != nil {
        t.Fatalf("读取响应失败：%v", err)
    }
    if response.StatusCode != http.StatusNoContent {
        t.Fatalf("响应状态不符：%d", response.StatusCode)
    }
}

这是供读者运行的原创测试示例，本文未执行它。预期是自定义客户端能验证本地测试证书并获得 204 响应。server.Certificate() 返回测试服务器所使用的证书；本例明确把这个测试证书放进信任池，不代表业务程序应该自动信任任意网络对端刚刚发来的证书。

对于自建测试 CA 签发叶子证书的场景，应把夹具中的根 CA 放进客户端池，让服务端发送叶子及必要中间证书。不要把每个服务器证书都当成根证书随意添加，信任锚必须由测试配置明确决定。

若手里已有 PEM，核心装配可以写成下面的函数内部片段；所在文件需导入 crypto/x509 和 fmt，并接收 rootPEM []byte。

// rootPEM 必须来自测试夹具中明确选择的根证书，不包含私钥。
roots := x509.NewCertPool()
if ok := roots.AppendCertsFromPEM(rootPEM); !ok {
    return nil, fmt.Errorf("测试根证书 PEM 中没有可解析的证书")
}
// 返回根池，供该测试客户端的 TLS 配置使用。
return roots, nil

AppendCertsFromPEM 返回 true 只表示至少有证书解析成功，不表示所有 PEM 块都合法，也不表示服务器的链、用途、有效期和主机名验证一定通过。根池只需要证书，不需要私钥。

定位：已经加入证书为什么仍失败

已经加入证书仍失败，先确认请求实际使用的是配置后的 client。误用 http.Get 或另一个默认客户端，会完全绕开你创建的 Transport。再确认根证书是否对应当前服务器证书，以及中间证书链是否齐全。

接下来检查地址和证书名称。使用 IP 地址访问时需要对应的 IP SAN，使用域名时需要相应的 DNS 名称。RootCAs 解决信任来源，不会自动把 localhost、127.0.0.1 和任意测试域名视为同一个身份。本例直接使用 server.URL，避免擅自替换测试地址。

证书有效期也独立生效。临时夹具如果已经过期，或签发时间与机器时间存在偏差，加入根池不能消除时间错误。应修正夹具、名称或时间条件，而不是把所有失败都归因为根池“没加载”。

收尾：隔离信任范围和连接资源

把根池、TLS 配置和 Transport 限定在需要它们的测试里，不要修改全局默认客户端。配置建好并开始被客户端使用后，避免一边请求一边修改共享根池或 TLS 配置；需要另一组信任条件时，创建独立配置。

只访问测试服务器时，空池加测试信任锚能让信任范围保持清楚。若确有同时访问公共证书服务的需求，可以使用 SystemCertPool 的副本再追加测试根，但应处理其错误，并理解这种选择扩大了信任范围。修改这个副本不会写回系统证书库。

示例分别关闭响应体、Transport 空闲连接和测试服务器。若只需要访问 httptest 自身服务，server.Client() 已经提供信任其测试证书的客户端；需要自定义传输行为或清楚展示根池装配时，再采用本文的独立客户端。

相关问题

空根池和 nil RootCAs 有什么不同？

nil 采用主机根集合；显式的空池提供自定义但尚未加入信任锚的集合，不能把两者混用。

把根加进池会影响浏览器或其他进程吗？

不会。这里的 CertPool 是内存对象，只影响使用它的验证配置，并未安装系统证书。

测试代码里也需要私钥吗？

客户端根池不需要私钥。服务器要完成 TLS 身份证明需要自己的私钥，本例由 httptest 管理其测试配置。

TLS 配置参考：https://pkg.go.dev/crypto/tls#Config

测试服务器参考：https://pkg.go.dev/net/http/httptest#Server.Certificate