Go tls.Config 怎么用 VerifyConnection 增加证书约束

tls.Config.VerifyConnection 适合在 Go 默认 TLS 校验之后追加应用级证书约束。稳妥做法是保留系统根证书、证书链和主机名校验，再在回调里核对服务端叶子证书的 SPKI 公钥摘要；摘要不匹配就返回错误并终止握手。

官方文档：https://pkg.go.dev/crypto/tls

• 默认校验负责判断证书是否可信、是否属于目标主机。
• VerifyConnection 只承担额外约束，不替代基础校验。
• 生产轮换时同时允许“当前摘要”和“下一摘要”，避免换证瞬间中断。

先保留默认校验，再增加约束

客户端不设置 InsecureSkipVerify，并填写正确的 ServerName。这样，只有证书链和主机名先通过，VerifyConnection 才用于追加检查。官方文档还说明，该回调会用于包括会话恢复在内的连接，因此比只依赖不在恢复连接上调用的某些旧式回调更适合做持续约束。

cfg := &tls.Config{
    ServerName: "api.example.com", // 中文注释：必须与目标服务证书中的主机名一致
    MinVersion: tls.VersionTLS12,   // 中文注释：显式声明本客户端接受的最低版本
    // 中文注释：RootCAs 留空时使用系统根证书池，不关闭默认验证
}

只有在你准备完整重做证书链和主机名校验时，才考虑 InsecureSkipVerify: true。本文目标是“增加约束”，因此不走这条更容易配置出错的路径。

在回调里校验 SPKI 摘要

SPKI 摘要绑定的是证书中的公钥信息。它通常比绑定整张证书更便于续期，但公钥发生变化时仍必须更新允许列表。下面的函数从已通过默认校验的链中取得叶子证书，计算 SHA-256 摘要，并与允许值做比较。

func verifyPinnedSPKI(allowedPins ...string) func(tls.ConnectionState) error {
    return func(cs tls.ConnectionState) error {
        // 中文注释：只接受已经通过 Go 默认验证形成的证书链
        if len(cs.VerifiedChains) == 0 || len(cs.VerifiedChains[0]) == 0 {
            return errors.New("TLS 默认验证未提供可用证书链")
        }

        leaf := cs.VerifiedChains[0][0]
        sum := sha256.Sum256(leaf.RawSubjectPublicKeyInfo)
        got := base64.StdEncoding.EncodeToString(sum[:])

        // 中文注释：允许当前与下一公钥摘要同时存在，便于换证
        for _, want := range allowedPins {
            if subtle.ConstantTimeCompare([]byte(got), []byte(want)) == 1 {
                return nil
            }
        }
        return fmt.Errorf("服务端证书公钥不在允许列表中")
    }
}

代码需要导入 crypto/sha256、crypto/subtle、crypto/tls、encoding/base64、errors 和 fmt。允许摘要必须从受控配置或部署系统读取，不能在运行时信任服务端临时返回的值，否则约束会失去意义。

把约束接入 HTTP 客户端

将回调挂到专用的 http.Transport，避免修改全局默认客户端。示例同时放入当前摘要和下一摘要；轮换完成并确认所有节点稳定后，再删除旧摘要。

cfg.VerifyConnection = verifyPinnedSPKI(
    currentPin, // 中文注释：当前线上证书公钥摘要
    nextPin,    // 中文注释：下一张证书预先发布的公钥摘要
)

client := &http.Client{
    Transport: &http.Transport{
        TLSClientConfig: cfg, // 中文注释：仅这个客户端使用额外证书约束
    },
    Timeout: 15 * time.Second, // 中文注释：避免连接异常时无限等待
}

resp, err := client.Get("https://api.example.com/health")
if err != nil {
    // 中文注释：握手约束失败也会通过请求错误返回
    return fmt.Errorf("访问受约束服务失败: %w", err)
}
defer resp.Body.Close() // 中文注释：及时释放响应体资源

失败处理要区分配置与网络问题

部署前应在预发布环境确认旧证书、下一证书和错误摘要三种情况：前两种应通过，错误摘要必须稳定拒绝。日志只记录约束名称与目标主机，不要输出完整证书、私钥或敏感配置。

常见问题

VerifyConnection 会在会话恢复时执行吗？

会。Go 官方文档明确说明它适用于所有连接，包括会话恢复连接，这正是它适合持续执行附加约束的原因之一。

能只绑定整张证书的哈希吗？

可以，但证书续期通常会改变整证书内容，即使公钥没变也可能触发更新。绑定 SPKI 更聚焦公钥约束，但仍要设计双摘要轮换和紧急回退流程。