Go crypto/tls 读取证书到期时间的代码写法

我在给出站 HTTPS 连接增加证书到期提醒时，最先遇到的不是证书校验失败，而是“到底从哪里读到期时间”。Go 的 TLS 连接不会直接把一个到期字符串挂在连接对象上，正确路径是先确保握手完成，再读取 tls.ConnectionState 中的 PeerCertificates[0]，最后访问 x509.Certificate.NotAfter。

NotAfter 只告诉你证书有效期的结束时刻，是否应该告警还要结合当前时间和业务阈值判断。下面把读取链路、剩余时间计算以及客户端和服务端的空证书边界拆开。

最小记法：握手完成后取 state.PeerCertificates[0].NotAfter。客户端通常能拿到对端证书；服务端是否有客户端证书取决于 ClientAuth，所以服务端代码必须先判断切片长度。

先在正确时机取得证书对象

Conn.ConnectionState() 返回的是连接的基础 TLS 状态。官方文档说明，状态只有在握手完成后才有意义；握手可以由第一次读写自动触发，也可以显式调用 Handshake。因此，把证书检查放在握手之前，读到的字段可能还没有被填充。

PeerCertificates 保存对端发送的已解析证书，顺序与发送顺序一致，第一项是用于验证的叶子证书。要看“对端这张站点证书什么时候到期”，通常就是读取第一项，而不是把中间证书或根证书当作提醒对象。

从 tls.Conn 读取 NotAfter

如果代码手里已经有一个 *tls.Conn，可以先调用 Handshake，再读取状态。这样检查函数对调用方的要求更明确：它会等待握手完成，并把握手失败作为错误返回。

package main

import (
    "crypto/tls"
    "fmt"
    "time"
)

// peerCertificateExpiry 完成握手后读取对端叶子证书的到期时间。
func peerCertificateExpiry(conn *tls.Conn) (time.Time, error) {
    if err := conn.Handshake(); err != nil {
        // 握手失败时没有可信的对端证书，直接把错误交给调用方。
        return time.Time{}, fmt.Errorf("TLS 握手失败: %w", err)
    }

    state := conn.ConnectionState()
    if len(state.PeerCertificates) == 0 {
        // 服务端可能没有收到客户端证书，不能直接访问下标 0。
        return time.Time{}, fmt.Errorf("TLS 状态中没有对端证书")
    }

    // 第一张是叶子证书；NotAfter 是它的有效期结束时刻。
    return state.PeerCertificates[0].NotAfter, nil
}

这里特意让函数返回 time.Time，而不是直接返回格式化字符串：调用方可以按自己的时区、日志格式和告警系统需要处理它。

把到期时间转换成剩余有效期

拿到 NotAfter 后，最直接的判断是 time.Until(notAfter)。结果为负数表示已经过期；结果小于业务阈值表示应该进入临近到期状态。不要只比较日期字符串，否则会丢掉小时、分钟和时区信息。

package certcheck

import (
    "crypto/tls"
    "fmt"
    "time"
)

// CertWindow 描述证书距离到期还有多久，以及是否需要提醒。
type CertWindow struct {
    ExpiresAt time.Time
    Remaining time.Duration
    Expired   bool
    Warning   bool
}

// InspectPeerCertificate 将 TLS 状态转换成可用于告警的结果。
func InspectPeerCertificate(conn *tls.Conn, warningWindow time.Duration) (CertWindow, error) {
    if err := conn.Handshake(); err != nil {
        // 不把握手失败误报成证书已过期，错误交给上层区分处理。
        return CertWindow{}, fmt.Errorf("完成 TLS 握手: %w", err)
    }

    state := conn.ConnectionState()
    if len(state.PeerCertificates) == 0 {
        // 服务端允许不要求客户端证书时，这个切片可能为空。
        return CertWindow{}, fmt.Errorf("没有可检查的对端叶子证书")
    }

    expiresAt := state.PeerCertificates[0].NotAfter
    remaining := time.Until(expiresAt)
    return CertWindow{
        ExpiresAt: expiresAt,
        Remaining: remaining,
        Expired:   remaining  0 && remaining 

warningWindow 应该来自业务配置，例如提前 30 天提醒。把“已过期”和“临近到期”拆成两个字段，比返回一个模糊的布尔值更容易接入日志、指标和通知。

客户端和服务端的空证书边界不同

同一个 ConnectionState 在客户端和服务端的语义并不完全相同。客户端读取的是服务端证书，正常 TLS 客户端连接会有对端证书；服务端读取的是客户端证书，而客户端是否发送证书取决于服务端的 ClientAuth 配置。

因此，服务端监控代码不能假定 PeerCertificates[0] 一定存在。即使业务配置了客户端认证，也应该保留长度判断，让“没有证书”成为一个明确的状态，而不是变成数组越界 panic。

func clientCertificateExpiry(conn *tls.Conn) (time.Time, bool, error) {
    if err := conn.Handshake(); err != nil {
        // 先区分握手错误，再讨论客户端是否带证书。
        return time.Time{}, false, fmt.Errorf("客户端 TLS 握手失败: %w", err)
    }

    state := conn.ConnectionState()
    if len(state.PeerCertificates) == 0 {
        // RequestClientCert 等模式允许客户端不发送证书。
        return time.Time{}, false, nil
    }

    // 对端证书链同样按叶子证书在前排列。
    return state.PeerCertificates[0].NotAfter, true, nil
}

这里用第二个返回值区分“没有客户端证书”和“函数出错”。如果业务要求必须有客户端证书，可以在上层把 hasCertificate=false 转成拒绝或告警；如果证书只是可选的，就可以记录为普通连接属性。

证书读取不等于完整的证书校验

读取 NotAfter 只回答“叶子证书声明的有效期结束时间是什么”，并没有替代主机名校验、信任链构建、吊销状态或业务层证书策略。正常 TLS 握手已经完成默认校验时，读取这个字段适合做运维提醒；如果代码使用了自定义验证回调或跳过默认校验，更不能把读到的日期当成“连接安全”的充分证明。

同样，不要把链中每一张证书的最晚日期混在一起。站点证书、交叉签发中间证书和根证书承担的角色不同；如果要做完整链路的运维检查，应明确监控对象，再分别遍历链并保留证书主题、序列号等可追踪字段。

把检查逻辑封装成稳定的调用边界

在实际项目中，我会让“连接生命周期”和“证书到期判断”分开：连接层负责拨号、超时和关闭，证书检查函数只接受已经建立的连接并返回结构化结果。这样既能在出站连接建立后检查服务端证书，也能在服务端握手回调中复用边界判断。

func shouldRenew(window CertWindow, threshold time.Duration) bool {
    // 已过期或剩余时间不超过阈值，都进入续期/人工处理流程。
    return window.Expired || window.Remaining 

阈值判断最好集中在一个小函数中，这样测试时可以直接传入固定的 CertWindow，不必每次都建立真实 TLS 连接。真正建立连接的代码仍要设置握手超时，并在完成检查后关闭不再使用的连接。

最后用一张表检查实现边界

相关问题

为什么不能在握手前直接读证书？因为 ConnectionState 只有在握手完成后才有意义，未完成时字段可能还没有被填充。

NotAfter 是本地时间还是 UTC？time.Time 自带时区信息，比较时直接使用时间值，展示时再按日志或业务时区格式化。

PeerCertificates 为空是否一定是错误？不一定。服务端在允许客户端不提供证书的认证模式下，可以正常得到空切片；是否告警由业务策略决定。

读取到期时间能代替证书校验吗？不能。它只提供有效期字段，主机名、信任链和其他验证仍由 TLS 校验流程负责。