Go 自签名 CA 连接失败怎么办

Go 客户端访问内网 HTTPS 服务时，如果服务端使用自签名 CA，常见错误是 x509: certificate signed by unknown authority。正确处理方式是给 tls.Config.RootCAs 传入一个包含自签名 CA 的 *x509.CertPool，通常还要先保留系统根证书；不要用 InsecureSkipVerify 直接关闭验证。

先判断 RootCAs 的默认值和替换语义

tls.Config.RootCAs 表示客户端验证服务端证书时使用的根证书集合。它保持为 nil 时，Go 使用主机的根 CA；一旦填入自己创建的空池，就等于把系统池替换掉。于是公网证书可能也会变成“不受信任”，这不是自签名 CA 追加失败，而是信任范围被缩小了。

用 SystemCertPool 叠加自签名 CA

下面的函数只负责构造信任池：先读取系统池，系统池不可用时退回空池，再追加 PEM 编码的自签名 CA。AppendCertsFromPEM 的布尔返回值必须检查，否则文件为空、格式错误或读到的不是证书时，程序会带着错误配置继续发请求。

package main

import (
    "crypto/tls"
    "crypto/x509"
    "fmt"
    "net/http"
    "os"
)

func newClientWithCA(caFile string) (*http.Client, error) {
    // 从系统根池开始，避免显式 RootCAs 覆盖公网证书信任。
    roots, err := x509.SystemCertPool()
    if err != nil {
        // 某些精简容器没有可读的系统池，仍可使用纯自定义池。
        roots = x509.NewCertPool()
    }

    pemBytes, err := os.ReadFile(caFile)
    if err != nil {
        return nil, fmt.Errorf("读取 CA 文件失败: %w", err)
    }
    // 返回 false 说明没有成功解析出任何 PEM 证书。
    if ok := roots.AppendCertsFromPEM(pemBytes); !ok {
        return nil, fmt.Errorf("CA 文件不是有效的 PEM 证书")
    }

    transport := &http.Transport{
        TLSClientConfig: &tls.Config{
            RootCAs: roots,
            // 不设置 InsecureSkipVerify，继续验证证书链和主机名。
        },
    }
    return &http.Client{Transport: transport}, nil
}

保持 ServerName 与正常主机名校验

把 CA 加入根池，只解决“谁签发了证书”的信任问题，不会替证书补上主机名。客户端连接 https://api.intra.example 时，服务端证书的 SAN 仍然需要包含这个主机名；如果用 IP 访问而证书只写了域名，就会得到主机名不匹配错误。

如果目标地址经过代理、服务发现或自定义拨号器，先确认 TLS 实际使用的 ServerName。需要显式指定时可以设置 tls.Config.ServerName，但它必须是证书中的合法 DNS 名称。不要把下面这种写法当成修复：

config := &tls.Config{
    RootCAs: roots,
    // 关闭校验会隐藏 CA、链和主机名问题，生产环境不要这样做。
    InsecureSkipVerify: true,
}

如果只是为了诊断，应该保留真实错误并记录目标主机、证书 SAN 和根池来源，诊断完成后删除绕过配置。

按错误边界排查容器、链和证书格式

先看错误文本，再回到对应层排查。unknown authority 多半指向根池未包含签发者或中间链不完整；cannot parse 或追加返回 false 指向 PEM 文件；doesn't contain any IP SANs 或主机名不匹配则应检查访问地址和证书 SAN。容器里尤其要确认系统 CA 包是否存在，不能因为 SystemCertPool 失败就把所有验证关闭。

相关问题

RootCAs 设置成空池有什么影响？

它不会自动继承系统根证书，只信任后来追加到这个池里的证书，因此公网 HTTPS 也可能失败。

为什么追加 CA 后还要检查返回值？

因为追加函数只在成功解析至少一个 PEM 证书时返回 true；路径正确不等于内容是有效证书。

可以只设置 ServerName 来解决 unknown authority 吗？

不可以。ServerName 参与主机名匹配，unknown authority 仍需从根池、证书链和 CA 文件本身排查。