Go httptest.NewTLSServer 测试时怎样避免证书不受信

在 Go 的 HTTPS 集成测试里，httptest.NewTLSServer 会启动一个使用测试证书的本地 TLS 服务。直接拿 http.DefaultClient 去请求 ts.URL，经常会遇到 x509: certificate signed by unknown authority。最稳妥的处理是复用 ts.Client()：它已经配置为信任当前测试服务器的证书。

这篇只讨论测试客户端和测试证书的关系，不把测试证书配置方法延伸到生产 TLS 部署。官方 API 文档地址：https://pkg.go.dev/net/http/httptest#Server.Client

为什么默认客户端会报证书不受信

先把请求链路拆成四个对象：测试服务器、服务器证书、客户端 Transport 和证书根池。NewTLSServer 创建的证书只服务于当前测试场景，它不等于操作系统或 Go 默认根证书池中的公共 CA。默认客户端通常使用默认 Transport 和系统根证书，因此无法自动认可这张临时证书。

下面的对比代码把问题固定在最小范围内。第一段请求使用默认客户端，失败原因是客户端没有这张测试证书的信任链；第二段使用服务器提供的客户端，Transport 已经知道怎样信任它。

func TestTLSClient(t *testing.T) {
	// 测试服务器使用临时 TLS 证书，并在测试结束时关闭监听器。
	ts := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		// 返回一个简单结果，方便把证书问题和业务断言分开。
		w.WriteHeader(http.StatusNoContent)
	}))
	defer ts.Close()

	// 默认客户端没有自动信任这张测试证书，通常会返回 x509 错误。
	_, err := http.DefaultClient.Get(ts.URL)
	if err == nil {
		t.Fatal("expected the default client to reject the test certificate")
	}

	// httptest 提供的客户端已绑定当前服务器的测试证书信任关系。
	resp, err := ts.Client().Get(ts.URL)
	if err != nil {
		t.Fatalf("trusted test client request failed: %v", err)
	}
	defer resp.Body.Close()
}

排查时不要只看“是否 HTTPS”。真正重要的是：请求使用了哪个 http.Client，它的 Transport 从哪里来，以及 TLS 配置里的根证书池是否包含当前测试证书。

直接使用 ts.Client() 解决测试证书问题

Server.Client() 返回的是一个专门用于访问该测试服务器的 HTTP 客户端。官方文档明确说明，它会信任服务器的 TLS 测试证书，并在服务器关闭时关闭自己的空闲连接。因此，普通测试只需要把 http.DefaultClient 替换为 ts.Client()。

func TestHealthEndpoint(t *testing.T) {
	ts := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		// 模拟被测服务的健康检查返回值。
		w.Header().Set("Content-Type", "text/plain; charset=utf-8")
		w.WriteHeader(http.StatusOK)
		_, _ = io.WriteString(w, "ok")
	}))
	defer ts.Close()

	// 从测试服务器取得受信任客户端，而不是重新使用默认 Transport。
	client := ts.Client()
	resp, err := client.Get(ts.URL + "/health")
	if err != nil {
		t.Fatalf("GET /health failed: %v", err)
	}
	defer resp.Body.Close()

	// 先判断状态码，再读取正文，避免把 TLS 问题误判成业务返回错误。
	if resp.StatusCode != http.StatusOK {
		t.Fatalf("unexpected status: %s", resp.Status)
	}
	body, err := io.ReadAll(resp.Body)
	if err != nil {
		t.Fatalf("read response body failed: %v", err)
	}
	if string(body) != "ok" {
		t.Fatalf("unexpected body: %q", body)
	}
}

这里有两个容易被忽略的资源边界：resp.Body 由本次请求拥有，需要关闭；ts 由测试拥有，需要在测试结束时关闭。客户端不需要另建一套“忽略证书错误”的配置。

在受信任客户端上增加超时和请求策略

“需要自定义客户端”不等于“必须从零创建 Transport”。如果只是增加请求超时、重定向策略、Cookie Jar 或测试专用 Header，可以先取得 ts.Client()，再修改 http.Client 层的字段。这样能保留测试证书的信任设置。

func TestWithClientOptions(t *testing.T) {
	ts := httptest.NewTLSServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		// 通过响应头确认请求确实进入了测试处理器。
		w.Header().Set("X-Test-Server", "true")
		w.WriteHeader(http.StatusAccepted)
	}))
	defer ts.Close()

	// 先复用已配置证书信任的客户端，再添加本测试需要的策略。
	client := ts.Client()
	client.Timeout = 2 * time.Second
	client.CheckRedirect = func(req *http.Request, via []*http.Request) error {
		// 测试不允许自动跟随重定向，避免隐藏请求次数。
		return http.ErrUseLastResponse
	}

	resp, err := client.Get(ts.URL)
	if err != nil {
		t.Fatalf("request failed: %v", err)
	}
	defer resp.Body.Close()
	if resp.StatusCode != http.StatusAccepted {
		t.Fatalf("unexpected status: %s", resp.Status)
	}
}

如果确实要调整连接池参数，可以复制 ts.Client() 返回客户端里的 *http.Transport，在副本上修改，再放回这个客户端。复制的关键是“以受信任 Transport 为起点”，不要把它替换成 http.DefaultTransport。

func clientWithPoolLimit(ts *httptest.Server) (*http.Client, error) {
	// 先取得带测试证书信任关系的客户端。
	client := ts.Client()
	base, ok := client.Transport.(*http.Transport)
	if !ok {
		// 不假定未知 RoundTripper 可以安全转换成 http.Transport。
		return nil, fmt.Errorf("unexpected transport type %T", client.Transport)
	}

	// Clone 保留 TLS 配置，再单独调整连接池，避免改动共享 Transport。
	transport := base.Clone()
	transport.MaxIdleConnsPerHost = 4
	client.Transport = transport
	return client, nil
}

这个辅助函数只改变连接池容量，证书信任仍然来自原 Transport 的 TLS 配置。不要把 InsecureSkipVerify 当成修复方案；它会绕过证书校验，掩盖测试客户端和服务端证书配置不一致的问题。

完全自建 Transport 时怎样补回测试证书

有些测试框架需要完全控制 Transport，例如要组合自定义 Dialer、代理或连接策略。这时可以明确把 ts.Certificate() 加入一个 x509.CertPool，再把该根池交给 tls.Config.RootCAs。这种写法的重点是“只信任当前测试服务器证书”，而不是全局关闭验证。

func clientFromTestCertificate(ts *httptest.Server) (*http.Client, error) {
	// 取出当前测试服务器实际使用的证书。
	cert := ts.Certificate()
	if cert == nil {
		return nil, errors.New("test server does not have a TLS certificate")
	}

	// 建立只包含测试证书的根池，避免使用 InsecureSkipVerify。
	pool := x509.NewCertPool()
	if !pool.AddCert(cert) {
		return nil, errors.New("add test certificate to pool failed")
	}

	transport := &http.Transport{
		TLSClientConfig: &tls.Config{
			RootCAs:    pool,
			MinVersion: tls.VersionTLS12,
		},
	}
	return &http.Client{Transport: transport, Timeout: 2 * time.Second}, nil
}

上面的自建客户端只解决证书信任，不自动复制 ts.Client() 可能带有的其它测试适配行为。若没有明确的 Transport 定制需求，优先使用 ts.Client()，可读性和资源边界都更清楚。

按症状快速排查

结论：先复用信任，再做定制

httptest.NewTLSServer 的证书不受系统默认根证书池信任，这是测试环境的正常边界。最短的正确路径是 ts.Client().Get(ts.URL)，并配合关闭响应体和服务器。需要超时或重定向策略时，在这个客户端上改配置；需要连接池参数时，复制它的 Transport；只有必须完全自定义 Transport 时，才通过 ts.Certificate() 和 x509.CertPool 显式补回信任关系。

常见追问

为什么不能直接把 InsecureSkipVerify 设为 true？

它会跳过服务器证书校验，测试虽然可能不再报错，但也失去了验证 TLS 配置的意义。测试证书应该被明确加入信任范围，而不是关闭校验。

ts.Client() 和 http.DefaultClient 最大区别是什么？

前者针对当前 httptest.Server 配置了访问测试服务器所需的 Transport 和证书信任；后者是通用客户端，不知道这张临时测试证书。

修改 ts.Client() 的 Transport 会影响其它测试吗？

通常不要把客户端或 Transport 放到多个测试共享的全局变量中。每个测试创建自己的服务器和客户端；需要修改时先复制 Transport，可以把变更限制在当前测试。