Go TLS 客户端连接内网证书时怎么追加自定义 CA

Go 客户端访问使用内网 CA 签发的 HTTPS 服务时，正确做法是把 CA 证书加入 x509.CertPool，再通过 tls.Config.RootCAs 交给 http.Transport。如果还要信任公网服务，先复制系统证书池再追加内网 CA；不要用 InsecureSkipVerify 把证书校验整体关掉。

先决定证书池：保留系统根还是只使用自定义 CA

内网 CA 通常只负责签发内部域名，不能替代系统根证书。最小配置可以从系统池开始，然后把 PEM 文件追加进去：

package main

import (
    "crypto/x509"
    "fmt"
    "os"
)

func loadRoots(path string) (*x509.CertPool, error) {
    // 复制系统证书池，避免为了一个内网服务丢掉公网根证书。
    roots, err := x509.SystemCertPool()
    if err != nil || roots == nil {
        // 某些精简系统没有可用系统池时，退回空池再显式追加 CA。
        roots = x509.NewCertPool()
    }

    pemBytes, err := os.ReadFile(path)
    if err != nil {
        return nil, fmt.Errorf("读取 CA 文件失败: %w", err)
    }
    // 返回 false 说明没有解析出任何 PEM 证书，不能静默继续。
    if ok := roots.AppendCertsFromPEM(pemBytes); !ok {
        return nil, fmt.Errorf("CA 文件不是可识别的 PEM 证书: %s", path)
    }
    return roots, nil
}

SystemCertPool 返回的是证书池副本，修改它不会写回操作系统。若程序只访问一个完全隔离的内网环境，也可以直接用 NewCertPool，但这意味着系统根证书不会自动保留。

把证书池交给 http.Transport

证书池不会自动影响所有请求，需要放进 tls.Config.RootCAs，再设置到 Transport。Transport 应复用，以便连接缓存和配置边界保持稳定：

package main

import (
    "crypto/x509"
    "crypto/tls"
    "net/http"
    "time"
)

func newClient(roots *x509.CertPool, host string) *http.Client {
    transport := &http.Transport{
        // RootCAs 只定义服务端证书信任来源，不会关闭主机名校验。
        TLSClientConfig: &tls.Config{
            RootCAs:    roots,
            ServerName: host,
            MinVersion: tls.VersionTLS12,
        },
        // 复用 Transport，避免每次请求重新建立连接池。
        MaxIdleConnsPerHost: 4,
    }
    return &http.Client{
        Transport: transport,
        Timeout:   10 * time.Second,
    }
}

示例中的 ServerName 应与证书中的 DNS 名称匹配；多数场景下它可以由请求 URL 推导，但在代理、别名或自定义拨号时显式设置更容易排查。生产代码还应把 Transport 保存并复用，不要每次调用都新建。

三类证书错误要分开处理

如果系统池加载失败，不要把它和内网 CA 读取失败混为一谈：前者是运行环境的根证书来源问题，后者是应用配置问题。将两类错误分别返回，日志里保留文件路径和目标主机，定位会更快。

常见问题

把自定义 CA 放进 NewCertPool 就够了吗？

只有当程序完全不需要系统根证书时才适合。混合访问公网和内网服务时，优先从 SystemCertPool 的副本开始。

为什么加了 CA 仍然报主机名错误？

CA 只解决信任链，不能改变证书的 SAN。请求地址、ServerName 和证书名称仍需匹配。

可以为每个请求创建一个 Transport 吗？

不建议。Transport 设计为复用并且可并发使用；应按配置生命周期创建，再交给多个请求共享。