Go语言中实现TLS加密通信需配置证书并使用net/http和crypto/tls包，首先通过OpenSSL生成自签名证书，用http.ListenAndServeTLS启动HTTPS服务；其次通过tls.Config自定义安全配置，如限定TLS版本、加密套件；访问HTTPS时可将自定义证书加入信任池以验证服务器；高安全场景可启用双向TLS认证，服务器设置ClientAuth要求客户端提供证书，客户端则携带证书发起请求，确保通信安全。
在Go语言中实现TLS加密的HTTP通信并不复杂，关键是正确配置证书、使用标准库中的net/http和crypto/tls包。以下是一些实用技巧和常见用法，帮助你安全地启用HTTPS服务或发起加密请求。
启用HTTPS服务器
最基础的做法是使用http.ListenAndServeTLS启动一个支持TLS的Web服务器。
你需要准备两个文件：服务器私钥（server.key）和签名证书（server.crt）。可以使用OpenSSL生成自签名证书用于测试：
启动HTTPS服务代码示例：
立即学习“go语言免费学习笔记（深入）”；
package main import ( "fmt" "net/http" ) func main() { http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) { fmt.Fprintf(w, "Hello, TLS!") }) fmt.Println("Server starting on https://localhost:8443") err := http.ListenAndServeTLS(":8443", "server.crt", "server.key", nil) if err != nil { panic(err) } }自定义TLS配置提升安全性
直接使用默认配置可能不够安全。通过tls.Config可以精细控制加密套件、协议版本和客户端验证等。
例如，禁用不安全的旧版本TLS，只允许现代加密算法：
cfg := &tls.Config{ MinVersion: tls.VersionTLS12, CurvePreferences: []tls.CurveID{tls.CurveP256, tls.X25519}, PreferServerCipherSuites: true, CipherSuites: []uint16{ tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, tls.TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305, tls.TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305, }, } srv := &http.Server{ Addr: ":8443", TLSConfig: cfg, } srv.ListenAndServeTLS("server.crt", "server.key")
发起带TLS验证的HTTP请求
使用http.Client访问HTTPS接口时，默认会验证服务器证书。如果想连接自签名证书的服务，需手动添加信任根证书。
示例：将自定义CA或服务器证书加入信任池：
rootCAs, _ := x509.SystemCertPool() if rootCAs == nil { rootCAs = x509.NewCertPool() } cert, err := ioutil.ReadFile("server.crt") if err != nil { log.Fatal("无法读取证书文件") } rootCAs.AddCert(cert) tr := &http.Transport{ TLSClientConfig: &tls.Config{ RootCAs: rootCAs, }, } client := &http.Client{Transport: tr} resp, err := client.Get("https://localhost:8443")双向TLS认证（mTLS）
某些高安全场景需要客户端也提供证书，即双向认证。这要求服务器开启客户端证书验证，并且客户端携带有效证书发送请求。
服务器端设置：
tlsConfig := &tls.Config{ ClientAuth: tls.RequireAnyClientCert, // 要求客户端提供证书 Certificates: []tls.Certificate{cert}, ClientCAs: rootCAs, // 客户端证书的信任链 }客户端携带证书：
cert, err := tls.LoadX509KeyPair("client.crt", "client.key") if err != nil { log.Fatal(err) } tr := &http.Transport{ TLSClientConfig: &tls.Config{ Certificates: []tls.Certificate{cert}, RootCAs: rootCAs, }, } client := &http.Client{Transport: tr}基本上就这些核心技巧。Golang的标准库对TLS支持完善，只要注意证书管理、协议版本和加密套件的选择，就能构建出安全可靠的加密通信服务。
