配置 https 可保障 golang web 应用通信安全，推荐使用 let's encrypt 免费证书。1. 准备公网服务器、绑定域名并解析，安装 certbot；2. 使用 webroot 模式通过指定网站根目录申请 ssl 证书；3. 修改 golang 代码加载证书与私钥并通过 listenandservetls 启动 https 服务；4. 设置定时任务每周自动续签证书并可选添加服务重启钩子以确保更新生效。
配置 HTTPS 是保障 Web 应用通信安全的重要步骤。对于 Golang 开发的 Web 应用来说，使用 Let's Encrypt 提供的自动证书方案是一个免费、高效的选择。
1. 准备工作：域名与服务器环境
在开始之前，确保你已经完成以下几项：
- 拥有可公网访问的服务器（如阿里云、腾讯云或 VPS）
- 已绑定好域名，并解析到该服务器
- 服务器上运行着你的 Golang Web 应用，默认监听 HTTP 端口（通常是 80 或其他自定义端口）
- 安装了 Certbot（Let's Encrypt 的官方客户端工具）
注意：Let's Encrypt 要求你能控制服务器和域名，以便进行域名验证。
如果你使用的是 Ubuntu 系统，可以这样安装 Certbot：
立即学习“go语言免费学习笔记（深入）”；
sudo apt update sudo apt install certbot
2. 使用 Certbot 获取 SSL 证书
Certbot 支持多种插件来申请证书。最常见的是通过 standalone 插件临时启动一个服务进行验证，或者使用 webroot 插件配合已有的 Web 服务。
推荐方式：使用 webroot 模式申请证书
假设你的 Golang 应用监听在 8080 端口，而你想用 Nginx 或 Apache 来处理 HTTPS 请求，那么可以用 webroot 方式让 Certbot 把验证文件放到指定目录。
命令示例：
sudo certbot certonly --webroot -w /var/www/html -d yourdomain.com -d www.yourdomain.com
-
-w后面是你的网站根目录路径 -
-d是你要申请证书的域名（支持多个）
执行后，Certbot 会自动下载证书并保存在 /etc/letsencrypt/live/yourdomain.com/ 目录下。
3. 配置 Golang 应用支持 HTTPS
获取证书之后，你需要修改代码，让你的 Golang 应用支持 HTTPS 协议。
基本方法是在启动时加载证书和私钥文件，然后调用 http.ListenAndServeTLS 方法：
package main
import (
"net/http"
)
func main() {
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("Hello over HTTPS!"))
})
certFile := "/etc/letsencrypt/live/yourdomain.com/fullchain.pem"
keyFile := "/etc/letsencrypt/live/yourdomain.com/privkey.pem"
err := http.ListenAndServeTLS(":443", certFile, keyFile, nil)
if err != nil {
panic(err)
}
}注意：Golang 应用默认需要 root 权限才能监听 443 端口，你可以选择：
- 用 root 运行程序（不推荐）
- 使用 systemd 配置 Capabilities（例如
CAP_NET_BIND_SERVICE）- 或者前面加 Nginx 做反向代理（更推荐）
4. 自动续签证书
Let's Encrypt 的证书有效期为 90 天，但可以通过 Certbot 自动续签。
建议设置一个定时任务，每周检查一次是否需要更新证书：
sudo crontab -e
添加如下内容：
0 0 * * 0 /usr/bin/certbot renew --quiet
这表示每周日凌晨自动执行续签操作。如果证书即将过期，Certbot 会自动更新并重新加载服务。
如果你使用了 Nginx/Apache，可能还需要加上 --post-hook 参数重启服务，比如：
--post-hook "systemctl reload nginx"
基本上就这些。只要一开始把流程跑通，后续维护其实很简单，但别忘了设置自动续签，不然证书一过期网站就打不开了。
